← España

PS-00323-2021

1/24  Expediente Nº: PS/00323/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 14 de julio de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a LABORATORIOS GONZÁLEZ, S.L. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 7 de marzo de 2022 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente nº: PS/00323/2021 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, la reclamante) con fecha 16/04/2020, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra LABORATORIOS GONZÁLEZ, S.L. (en lo sucesivo RECLAMADO). Los motivos en que basa la reclamación son que su centro de trabajo, Ayuntamiento de Calp, inició “ayer “un proceso consistente en la extracción y análisis de sangre para detección de anticuerpos COVID-19 a través de un “laboratorio privado” “a lo que consentí expresamente”, “pasaron mis resultados de anticuerpos COVID 19, mi sorpresa fue que me dieron el resultado me lo dieron por la tarde a través de mi correo electrónico a mi y a mi jefa-representación política”. “Pedí explicaciones a la empresa, puesto que nadie me ha informado de eso”. Añade que en todo caso se debiera haber comunicado solo los casos positivos, pero a Sanidad, no a “mi Concejala y/o Alcaldesa”. Junto a la reclamación aporta copia de: -E mail dirigido a RECLAMADO el 16/04/2020, con literal: “me ha mandado mi resultado medico a mi y a mi jefa y usted no tiene mi consentimiento para dar este dato personalísimo a nadie más que a mi”, y la respuesta que transcribe el laboratorio: ”..la persona contratante del servicio debe tener constancia del resultado, por si hay algún caso positivo tomar las medidas pertinentes, por si se diera el caso que el trabajador es un inconsciente y estando el periodo de contagiar a la gente sigue acudiendo al puesto de trabajo. Por este motivo este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/24 tipo de analíticas se remiten al responsable del servicio..." SEGUNDO: A la vista de los hechos manifestados en la reclamación y de los documentos aportados, motivándose la no aplicación de la suspensión de plazos, la Subdirección General de Inspección de Datos trasladó el 27/04/2020 a los efectos de lo previsto en el artículo 65.4 de la LOPDGDD la reclamación al reclamado y al AYUNTAMIENTO de CALP (investigado). Se les solicitaba: “1. La decisión adoptada a propósito de esta reclamación. 2. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 3. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 4. Cualquier otra que considere relevante.” TERCERO: Reclamado, con fecha 14/05/2020, manifiesta: 1. La notificación se envía directamente al responsable del servicio (en este caso la Concejala). 1. “La base legal para el tratamiento ha cambiado debido a la situación de alarma por la epidemia del COVID-19, ya no es el consentimiento expreso de la empleada sino que se legitima a la empleadora (Ayuntamiento de Calp) a realizar las pruebas y analíticas para detectar el COVID-19 a sus trabajadores y además, a conocer los resultados de las pruebas, así como a comunicárselos a la empleada del Ayuntamiento”. 2. “Por razones sanitarias de urgencia o necesidad se ha previsto que las Administraciones publicas y autoridades sanitarias competentes serán quienes deberán adoptar las decisiones necesarias”. “Lo anterior hace referencia expresamente a la posibilidad de tratar los datos personales de salud de determinadas personas físicas por los Responsables de Tratamiento de datos personales, en este caso “Ayuntamiento de Calp”, cuando por indicación de las autoridades sanitarias competentes, es necesario comunicar a otras personas con las que dicha persona física ha estado en contacto la circunstancia del contagio de esta, para salvaguardar tanto a dichas personas físicas de la posibilidad de contagio (intereses vitales de las mismas) cuando para evitar que dichas personas físicas, por desconocimiento de su contacto con un contagiado puedan expandir la enfermedad a otros terceros (intereses vitales de terceros e interés público esencial y/o cualificado en el ámbito de la salud pública). Del mismo modo, y en aplicación de lo establecido en la normativa de prevención de riesgos laborales, y de medicina laboral, los empleadores podrán tratar, de acuerdo con dicha normativa y con las garantías que estas normas establecen, los datos de sus empleados necesarios para garantizar la salud de todos sus empleados, lo que incluye igualmente al resto de empleados distintos del interesado, para asegurar su derecho a la protección de la salud y evitar contagios en el seno de la empresa y/o centros de trabajo.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/24 3. Aporta copia de: “PRESUPUESTO ANALÍTICA COVID 19” sin fecha ni firma, y donde consta: - “Según conversación mantenida, la realización del análisis sanguíneo del COVID 19, para la determinación serológica de los niveles de anticuerpos Ig G – Ig M, llevaría un importe de € por cada trabajador.” “En caso de aceptar dicho presupuesto, con antelación del día de la realización se ha de disponer de un listado de los trabajadores en formato excel en los que deben de figurar: Nombre completo del trabajador; DNI; Fecha de nacimiento; teléfono y un correo centralizado de la empresa donde remitir los resultados. Los trabajadores deben de saber que este laboratorio enviara una copia de dicha analítica a la dirección de la empresa, para que ésta tenga constancia del estado de salud de sus trabajadores en relación a una posible infección por COVID 19. Así mismo los casos positivos se comunicarán al servicio de Epidemiología de la Conselleria de Sanidad (0rden de 04/03/1977 de la Conselleria de Sanidad). Si algún trabajador no está de acuerdo en que dichos resultados se comuniquen a la empresa, lo debe de manifestar en el momento de la extracción de sangre, aportando un correo electrónico donde comunicarle el resultado.” 5. Aporta copia del informe del Gabinete Jurídico de la AEPD número 17/2020 “en relación con los tratamientos de datos resultantes de la actual situación derivada de la extensión del virus COVID-19”, de 12/03/2020, que indica en el artículo 9.2 del RGPD los distintos supuestos que pueden concurrir en función de las circunstancias para el tratamiento de datos de salud, levantando la prohibición del artículo 9.1 de la misma norma. CUARTO: Con fecha 1/06/2020, AYUNTAMIENTO DE CALP informa y manifiesta: 1. “La causa que origina la incidencia viene dada por la interesada por la remisión del resultado de las pruebas realizadas por COVID-19 por correo electrónico, con copia a su superior, originando malestar en la interesada por la comunicación”. Con fecha 11/04/2020 “se propuso a los trabajadores del área de servicios sociales someterse de forma voluntaria a una prueba de anticuerpos COVID-19”, por ser empleados que están en primera línea, en algunos casos en contacto directo con pacientes de COVD-19. “Que teniendo en cuenta la base legitimadora de obligación legal, interés público en el ámbito de la salud pública/medicina preventiva o laboral y/o diagnóstico médico, desde la Concejalía de Servicios Sociales se decide y se aprueba la contratación de un Laboratorio Externo: Laboratorios González S.L.” que antes había realizado análisis de sangre al personal del servicio de protección civil de Calp. Aceptaron veinticinco personas. “Se facilitó a la empresa nombres de los trabajadores que se iban a realizar la prueba, DNI y correo electrónico de contacto, tras solicitarles previamente los datos. Como correo electrónico del responsable se incluyó el de la Concejala delegada del Área”. “El 15/04, los trabajadores se realizaron la analítica y ese mismo día se comunicó a cada uno el resultado de la prueba por email, poniendo en copia en cada email a la Concejala DeC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/24 legada del Área.” “La interesada traslada por correo electrónico, con fecha 16/04/2020, el malestar al Laboratorio que ha realizado las pruebas, indicando que no ha dado consentimiento para tal comunicación.” 1. “Se están estudiando los consentimientos del Laboratorio externo contratado para comprobar el correcto cumplimiento en materia de protección de datos.” 2. Se ha enviado un comunicado a la afectada. 3. Han solicitado información al Laboratorio acerca de los deberes de información, auditoría en materia de protección de datos, o documentación equivalente como evidencia de medidas técnicas y organizativas, copia de los emails remitidos, pero, a fecha de 27/05/2020, no han recibido contestación. 4. ”No ha sido comunicado el nombre de las personas que han dado positivo en las pruebas al personal de la entidad.” 5. “El Ayuntamiento de Calp reforzará el consentimiento para el caso de futuras pruebas teniendo presente el deber de información.” QUINTO: La Directora de la AEPD, de conformidad con lo previsto en el artículo 65 de la LOPDGDD, con fecha 9/10/2020 acuerda admitir a trámite la presente reclamación. SEXTO: Con fecha 1/03/2021, en el seno de las actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, y artículo 67 de la LOPDGDD se solicita a RECLAMADO, que aporte: “1. Copia del contrato firmado con el Ayuntamiento de Calp en relación a la realización de las analíticas. 2. Acreditación de la información facilitada a la reclamante en relación al tratamiento de datos personales así como a quién informarían del resultado de la analítica.” Con fecha 17/03/2021, el reclamado responde que no hay contrato firmado, la sistemática es:

  1. a)La Concejalía se pone en contacto con el Laboratorio, solicitando un presupuesto, que ya se remitió en contestación anterior. Una vez aceptado el presupuesto, la Concejalía lo pasa a su departamento económico para realizar una reserva de crédito.
  2. a)“El día de la toma de muestras se dice al personal (el cual está reunido en una sala) que los resultados se remitirán al Concejal de turno y al interesado, no mostrando ninguno su oposición verbal o escrita a realizar dicha prueba y a que se comuniquen los resultados al concejal de turno.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/24 SÉPTIMO: Con fecha 14/07/2021, la Directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a LABORATORIOS GONZÁLEZ, S.L., con NIF B03997434, por la presunta infracción del artículo 5.1.
  3. f)del RGPD, en relación con el artículo 5 de la LOPDGDD, conforme señala el artículo 83.5.
  4. a)del RGPD y el 72 1.
  5. a)de la LOPDGDD, de conformidad con el artículo 83.2
  6. d)y
  7. g)del RGPD y 76.2
  8. b)de la LOPDGDD”. “a los efectos previstos en el art. 64.2
  9. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa administrativa de 20.000 euros, sin perjuicio de lo que resulte de la instrucción”. La notificación se remitió electrónicamente con el sistema de gestión de Notificaciones Notific@. El envío según el certificado que consta en el expediente figura “Fecha de puesta a disposición: 15/07/2021 09:14:02 Fecha de rechazo automático: 26/07/2021 00:00:00” De acuerdo con lo previsto por el art. 43 de la LPACAP, se cumplirá la obligación de notificar con la puesta a disposición de la notificación en la sede electrónica o en la Dirección Electrónica Habilitada única (DEH) del responsable de tratamiento No se recibieron alegaciones. OCTAVO: En cuanto a las alegaciones de la otra parte reclamada, Ayuntamiento de Calpe, PS/00364/2021, se incorporan por guardar conexión con la reclamación, indicando el 2/08/2021: 1) No existe infracción en la conducta del Ayuntamiento de Calp en el tratamiento de los datos del análisis COVID-19 realizado voluntariamente por la reclamante basado en el consentimiento de la afectada. “Los resultados de las pruebas fueron comunicados tanto a los trabajadores individualmente como a la Concejala responsable del servicio, por ser este el protocolo a seguir por LABORATORIOS GONZALEZ S.L., y haber sido expresamente consentido por los trabajadores”. “Los datos fueron enviados al responsable del servicio “por protocolo del servicio del laboratorio”, limitados a comprobar la existencia de anticuerpos en sus empleados.” 1) La base jurídica del tratamiento puede ser múltiple, tanto de interés público, o vital, de acuerdo con el considerando 46. Como indica el acuerdo, la prohibición de tratamiento de datos personales cede cuando concurren alguna de las circunstancias del articulo 9.2 del RGPD” ”En el presente supuesto se dan varias de ellas, como la del apartado a), b), c), g),
  10. h), i). Se ha de tener en cuenta las circunstancias excepcionales del contexto social y sanitario en que acaecieron los hechos “En el contexto del estado de alarma, las pruebas pueden aplicarse en el ámbito laboral, en la medida en que, en el contexto de una política de prevención de riesgos laborales, son un instrumento idóneo para evitar el contagio y propagación de la pandemia, siendo esta la finalidad de su practica y su base legitimadora”. “Las pruebas se practicaron en aquellos trabajadores que mostraron expresamente su consentimiento, siendo conocedores de que se comunicaría a la empresa el resultado, salvo que manifestasen su disconC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/24 formidad en el momento de la extracción de sangre, lo que no sucedió en el presente caso “Se produce un tratamiento de datos exclusivamente limitados al resultado de la prueba COVID 19 realizada, basada en el consentimiento de la propia afectada” El tratamiento de estos datos se ha efectuado en todo momento aplicando los principios de transparencia, limitación de la finalidad, exactitud y minimización que rigen la normativa aplicable en la materia de protección de datos. De acuerdo con estos principios, el Ayuntamiento trató los datos de salud derivados exclusivamente de las pruebas diagnóstico del COVID-19, siendo su único destino la adopción de las medidas necesarias para garantizar la seguridad de los empleados y evitar la propagación del virus entre los mismos, y conservándose los resultados únicamente durante el tiempo estrictamente necesario para controlar la pandemia” NOVENO: Con fecha 7/02/2022, se inicia período de práctica de pruebas dando por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento E/08228/2020. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por AYUNTAMIENTO DE CALPE y la documentación que a ellas acompaña, por guardar relación con esta reclamación . Además, se solicita a LABORATORIOS GONZÁLEZ SL:
  11. a)Si a las personas a las que toma las muestras se les informó de los datos de salud que se van a recoger, de su tratamiento, finalidad y el resto de los elementos que se contienen en el artículo 13 del RGPD. Copia de la información que se proporcionó en este caso a la reclamante. Con fecha 15/02/2022 se recibe contestación, manifestando que se les informó verbalmente de las pruebas a realizar y finalidad de las mismas. “Por error logístico, se suponía que el consentimiento informado con el paciente, se realizó en el Ayuntamiento de Calpe y no se recogió en el momento de la extracción sanguínea, al ser una prueba voluntaria”.
  12. a)¿Que hizo posteriormente con los datos de los resultados de los análisis.? Manifiesta que “con el resultado, positivo/negativo, se informa mediante correo electrónico al responsable del Ayuntamiento, empresa que nos contrata para este fin, y a la interesada que acudió voluntariamente a realizar la prueba.”
  13. b)Si ha introducido variaciones en la forma de remisión de los resultados de las pruebas practicadas, o del contenido en casos negativos o positivos y motivos. Responde que “Si. El paciente que viene a realizarse una toma de muestra está informado por su empresa de la finalidad y tratamiento de dicha analítica y que puede manifestar que el resultado se le remita solo a él, y no a la empresa contratante en el momento de la toma de la muestra”.
  14. c)Volumen de negocio total anual global del ejercicio financiero 2019 de la entidad, número de centros de que dispone y número de empleados. Responde aportando modelo 200 de impuesto de sociedades de 2019, y cuentas anuales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/24 En las mismas figura que tiene tres empleados, es una MICROPYME, con base imponible negativa o cero. En la cuenta de pérdidas y ganancias, consta como “importe neto de la cifra de negocios: 168.462,47 euros” Al AYUNTAMIENTO DE CALPE, (se incorpora por la conexión de los hechos), se le solicitó que informara o respondiera a las siguientes cuestiones:
  15. a)Categoría, número y tipo de actividad laboral que desarrollaba el personal a los que se les ofreció la prueba COVID. Si todos desarrollaban las mismas funciones. ¿Porque si los empleados realizaban en la prestación del servicio contacto diario con población de riesgo, no se decidió la obligación de la realización de la prueba en base a la LPRL, art 22 a todo el colectivo.? Informen si existía valoración del grado de riesgo laboral de estos empleados. Con fecha 1/03/2022 ,se recibe respuesta en la que manifiesta que la realización de las pruebas analíticas se circunscribió inicialmente solo al Departamento de Servicios Sociales, al personal que “prestaba servicio de forma presencial en contacto con otros compañeros y usuarios.” En el contexto de la declaración de Estado de alarma, a mediados de abril del 2020, teniendo abiertos al público servicios de carácter esencial, como prestación de ayuda domiciliaria a personas dependientes o atención a usuarios con necesidades básicas, constituía un riesgo que debía atenuarse en la medida de lo posible, La decisión de realizar las pruebas vino precedida de una petición de los propios afectados y en tal sentido “se arbitró una fórmula lo más sencilla posible, cuál fue la contratación por parte del Ayuntamiento de un laboratorio para llevar a efecto las pruebas.” Esta medida debe entenderse como una decisión del Ayuntamiento tendente a mejorar “la prevención de un riesgo laboral muy concreto”. La idea inicial fue que de forma preferente se sometieran a las pruebas “ las trabajadoras del servicio de atención a domicilio que prestaban auxilio a personas dependientes de avanzada edad si bien la definitiva fue que se ofreciera esta posibilidad a todos los trabajadores de servicios sociales sin que la misma fuera obligatoria.” El artículo 14 de la Ley 31/1995 de prevención de riesgos laborales obliga al empresario a garantizar sin excusas ni excepciones la seguridad y la salud de los trabajadores a su servicio en todos los aspectos relacionados con el trabajo, quedando obligado a adoptar cuantas medidas sean necesarias en evitación de riesgos graves. “El artículo 22 de la citada ley puede incluso obligar a la realización de estas pruebas en aras a evitar riesgos específicos para el propio trabajador, sus compañeros o los usuarios, tratándose estas de una medida claramente preventiva.” “Por supuesto el resultado de estas pruebas tiene que ser conocido por el empleador pues de otro modo resulta imposible implementar las medidas de prevención en orden a apartar a aquellos trabajadores contagiados para evitar la proliferación del virus.” “Este conocimiento del resultado de las pruebas por parte del empleador queda legitimado a partir de lo dispuesto en el artículo 22 de la citada ley de prevención de riesgos laborales”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/24
  16. b)Informen si tenían aprobado un Plan Específico de Prevención de Riesgos Laborales ante el Coronavirus. Informen con que entidad y con que modalidad de prevención de riesgos laborales se da cobertura a la salud y seguridad de su personal, y papel que a la fecha de los análisis estaba desempeñando dicho Servicio de Prevención de Riesgos Laborales (SPRL) Respondió que en abril del 2020, el Ayuntamiento con la mayoría de sus servicios cerrados al público y sus empleados confinados en sus domicilios, tomó la decisión por la obligación del trabajo presencial y contacto directo con usuarios de avanzada edad, especialmente vulnerables, de la realización de las pruebas de detección del virus en el citado Departamento. “En este contexto tan particular no hacía falta un plan de prevención específico pues para detectar el contagio en aquellas personas asintomáticas, este tipo de pruebas analíticas eran la única medida posible en aquel momento tan crítico”. En cuanto al SPRL, informa que lo desempeña la empresa CUALTIS SL, y que éste procedió a efectuar evaluación de riesgos de exposición a virus en los distintos centros, a medida que se fue recuperando la actividad presencial en los mismos. En el momento de los hechos denunciados no había plan de prevención frente al COVID dado el carácter extraordinario imprevisto de la pandemia Así mismo, señalar respecto al procedimiento que se sigue actualmente en la elaboración de las pruebas PCR, que se ofrece la posibilidad a las personas que han tenido contacto con un compañero o compañera que sea positivo tras una prueba de antígenos o PCR de ámbito laboral y en horario de trabajo. La persona que entiende que se encuentra en esas circunstancias debe comunicarlo a su responsable, y solicitar someterse a la prueba en nuestro departamento de Sanidad. Desde el departamento de Sanidad toman los siguientes datos, para remitirlos a la clínica HCB: - Nombre y apellidos. - Nº teléfono (localizable). - Correo electrónico. Y, se le indica que desde la clínica HCB se pondrá en contacto con ellos para darles cita y hacer la PCR. Respecto al resultado, se comunica al correo electrónico que el/la trabajador/a da a HCB, y éste se lo envía mediante contraseña privada. En caso de ser positivo, el trabajador lo debe comunicar a su responsable, ponerse en contacto con el servicio público de salud, y remitir la baja a recursos humanos a la mayor brevedad. Aporta copia de “EVALUACIÓN DE RIESGO DE EXPOSICIÓN A CORONAVIRUS” edición inicial 25/03/2020, última actualización 11/06/2020, al Ayuntamiento de Calp, Bienestar Social, realizada en base a las circunstancias excepcionales debido al estado de alarma decretado en el Real Decreto 463/2020 de 14/03 y su reglamentación derivada. En las tareas a evaluar y en puesto de trabajo, las referidas auxiliar a domicilio o ayudante, con tareas de atención a personas mayores enfermas e impedidas. También se valoran otros puestos como personal de oficina o de conserje en atención al público. Aporta un cuadro de clasificación en tres rangos de escenarios de riesgo exposición coronavirus en el entorno laboral. Como aspectos relevantes se podrían significar que se contienen medidas de carácter general de aplicación en los centros de trabajo para caso de que un trabajador empezara a tener síntomas compatibles con la enfermedad, y el proceso asociado que incluye “contacto de inmediato con el teléfono habilitado para ello por la comunidad autónoma o centro de salud correspondiente, y, en su caso, con los correspondientes servicios de prevención de riesgos laborales, y medidas mas concretas para el sector de atención domiciliaria” de conformidad con lo dispuesto en el Documento Técnico para el manejo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/24 domiciliario del COVID-19 publicado por el Ministerio de Sanidad del Gobierno de España (versión 17 de marzo de 2020), para los que se prevé prácticamente lo mismo, que en caso de presentar “sintomatología respiratoria no deberán acudir al trabajo. Deberán consultar a los servicios sanitarios para realizar una valoración individualizada sobre la pertinencia de la continuidad de sus actividades laborales.”, añadiendo que_ “-Si se confirmara que el/la auxiliar ha dado positivo en coronavirus, será la empresa la responsable de comunicarlo a los usuarios/as que haya atendido o a sus familiares. Además, deberá establecer comunicación con los usuarios del servicio con los que dicho/a auxiliar haya estado en contacto durante los últimos 14 días” También se prevén “medidas generales para PROTECCIÓN DE LA SALUD DEL PERSONAL ASISTENCIA A USUARIOS/AS AFECTADOS POR CORONAVIRUS” “4.4. Normas de actuación si se presentan síntomas de la enfermedad Si los síntomas aparecen en el domicilio: Todo aquel trabajador que presente síntomas compatibles con la enfermedad no acudirá al centro de trabajo, lo comunicará a la empresa y se pondrá en contacto con los servicios de salud, siguiendo las recomendaciones que le indiquen. Mantendrá informada a la empresa de la evolución. Se deberá valorar la posible presencia de trabajadores que hayan tenido un contacto estrecho con este trabajador, considerando como contacto estrecho a cualquier persona que haya estado en el mismo lugar que un caso, a una distancia menor de 2 metros y durante más de 15 minutos. El periodo a considerar será desde 2 días antes del inicio de síntomas hasta el momento en el que el caso es aislado. Los contactos estrechos de casos confirmados realizarán cuarentena domiciliaria durante 14 días desde la fecha de último contacto con el caso, realizándose seguimiento por parte del Servicio de Prevención.
  17. c)Información que se proporcionó al personal sobre el tratamiento de los datos relacionados con el análisis de sangre, y comunicación de resultados, cuyos extremos se contienen en el artículo 13 del RGPD. Deben considerar que en el presupuesto que recibieron del laboratorio figuraba y conocían -que se le tendría que proporcionar junto al listado de los trabajadores, “un correo centralizado de la empresa donde remitir los resultados “ -que “los trabajadores deben saber que se enviará una copia de dicha analítica a la dirección de la empresa.” -que ”Si algún trabajador no está de acuerdo en que dichos resultados se comuniquen a la empresa, lo debe de manifestar en el momento de la extracción de sangre, aportando un correo electrónico donde comunicarle el resultado”. Responde que “la información a los afectados sobre el tratamiento de los datos de carácter personal fue facilitada por el Laboratorio y todos los que se realizaron la prueba firmaron su consentimiento con pleno conocimiento de las prescripciones legales.”
  18. a)Cual era la finalidad de que la respectiva Concejalía conociera el análisis completo, junto a su nombre y apellidos y se decidiera proporcionar su e mail al laboratorio, y si no se opuso por el Ayuntamiento razonamiento a esta petición del laboratorio. Razone si no existía otra opción que no incluyera ese comunicado a Concejalía para no difundir datos de resultados como en este caso, negativos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/24 Responde que la finalidad de que la Concejalía conociera el resultado de las pruebas es tan obvia como justificada pues se trataba de verificar si existía algún empleado contagiado en aras de implementar todas las medidas de prevención. El objetivo de la prueba era el de garantizar la seguridad de los empleados y usuarios, siendo “el único propósito de la prueba suministrar información al Ayuntamiento para evitar riesgos a las personas. “Y considerando la carencia de personal en ese momento, resulta patente que no había otra opción, dado que la Concejalía asumió la responsabilidad de garantizar la seguridad a los trabajadores y usuarios”.
  19. b)Si intervino en el diseño del proceso del tratamiento de datos el Delegado de protección de datos, informe realizado. Si no intervino, motivo por el que no lo hizo. Señalan que no intervino en la decisión porque no se entendió necesario y además porque la situación de confinamiento impedía trabajar con normalidad en esas fechas.
  20. c)Explicación de si se contempló algún criterio facultativo para la realización de las pruebas diagnósticas para la detección del COVID-19 al personal referido, para la realización del análisis sanguíneo del COVID 19, para la determinación serológica de los niveles de anticuerpos Ig G – Ig M Señala que el criterio facultativo seguido fue el recomendado por el laboratorio contratado teniendo en cuenta que en aquella época las pruebas PCR eran la excepción debido a su escasez y los test de antígenos eran prácticamente inexistentes. “El propio Servicio Nacional de salud, en abril del 2020, no tenía un protocolo claro para la detección preventiva de la enfermedad.”
  21. d)Si entre las pruebas practicadas se produjo algún positivo, y cual era el procedimiento para seguir, una vez obtenidos los resultados, fueran negativos o positivos, considerando que era una prueba de detección de anticuerpos que revelan que se ha pasado el virus, y motivo por el que no se realizó otro tipo de prueba y se concretó en esta. Respondió que las pruebas realizadas no evidenciaron ningún contagio positivo, “si bien en algún caso sí permitieron conocer rastros de contagio previo en algún trabajador“”. “Se trató de una medida adoptada in extremis, con la única finalidad de aislar a aquellos trabajadores que pudieran contagiar la enfermedad”. “No hubo que aplicar ningún protocolo porque no se detectó ningún contagio activo”.
  22. e)En base a las medidas de cumplimiento (art 25 del RGPD) se le solicita copia del registro documental que tiene que disponer antes de llevar a cabo los tratamientos de datos, en cuanto a los riesgos que entrañan el tratamiento de datos para los derechos de las personas, medios y modo de tratamiento para aplicar de forma efectiva el principio de confidencialidad en el concreto examen de extracción de muestras sanguíneas para la finalidad que se pretendía. No responde.
  23. f)En base a las medidas de cumplimiento (art 5.2 del RGPD documentación que de soporte especifico a la base legitima de tratamiento que consideren es la que concurría para la realización de las pruebas y la comunicación al Concejal, considerando la finalidad del colectivo, el contexto, y la voluntariedad de someterse o no a la misma. No responde.
  24. g)Copia del registro de actividad de tratamiento (art 30 RGPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/24 No responde.
  25. h)Si con posterioridad a esta reclamación se han tomado medidas a tener en cuenta para que hechos como los denunciados no se reiteren, explicar cuales. No responde. DÉCIMO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 11/04/2020 la Concejalía de Servicios Sociales del Ayuntamiento de Calp “propuso a trabajadores del área de servicios sociales someterse de forma voluntaria a una prueba de anticuerpos COVID-19. No figura documento de la misma, aceptando hacerse la prueba la reclamante, que se realizó en las oficinas del Ayuntamiento la mañana del 15/04/2020. Hay que señalar que al Ayuntamiento de Calp se le sigue por la misma reclamación el expediente Ps/00364/2021. La prueba que se realiza a la reclamante y a 24 empleados mas, el 15/04/2020, consistía en un análisis sanguíneo del COVID 19, para la determinación serológica de los niveles de anticuerpos Ig G – Ig M, recomendado y contratado con un laboratorio externo: LABORATORIOS GONZÁLEZ S.L, (LG ). Algunos de los empleados sobre los que se practicaron las pruebas prestan servicios en ayuda domiciliaria en contacto con personas vulnerables. SEGUNDO: Como forma de articular el consentimiento para comunicar los resultados a los empleados que se practican las pruebas y en general, el proceso, y que sirve como procedimiento adoptado en este proceso, el Ayuntamiento de Calpe aceptó unas condiciones, que LG le presentó, reflejadas en el documento PRESUPUESTO ANALÍTICA COVID 19, que indicaba los siguientes requisitos: - “se ha de disponer de un listado de los trabajadores en formato excel en los que deben de figurar: Nombre completo del trabajador; DNI; Fecha de nacimiento; teléfono y un correo centralizado de la empresa donde remitir los resultados. - Los trabajadores deben de saber que este laboratorio enviara una copia de dicha analítica a la dirección de la empresa, para que ésta tenga constancia del estado de salud de sus trabajadores en relación a una posible infección por COVID 19. Si algún trabajador no está de acuerdo en que dichos resultados se comuniquen a la empresa, lo debe de manifestar en el momento de la extracción de sangre, aportando un correo electrónico donde comunicarle el resultado.” En desarrollo de esta última condición de comunicación de datos de resultados, no consta que se informara por ninguna de las dos partes, Ayuntamiento o Laboratorio a la reclamante, y esta, expresamente manifestó que no fue informada de tal comunicación en los resultados de la analítica, argumentando el Laboratorio que el día de la toma de muestras se dice al personal que está “reunido en una sala, que los resultados se remitirán al Concejal de turno y al interesado, no mostrando ninguno su posición verbal o escrita a realizar la prueba y a que se comunicasen los resultados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/24 TERCERO: La reclamante manifiesta en su reclamación que recibe los resultados de la analítica en su correo electrónico con copia a su jefa, Concejala y lo primero que hizo fue pedir explicaciones a “su empresa”, manifestando que nadie la había informado de eso. Después, manifiesta que se dirigió al Laboratorio por e mail preguntando por los hechos, indicando en copia de e mail que aporta, de 16/04/2020 “usted no tiene mi consentimiento para dar este dato personalísimo a nadie más que a mi”. De la lectura de la reclamación, no consta acreditado que la reclamante diera positivo a COVID 19 en la prueba, no lo manifiesta, y de lo manifestado por el Ayuntamiento de Calp en pruebas también se deduce así, indicando este que no hubo ningún positivo. CUARTO: No se acredita ni se deriva del “presupuesto”, ni de las manifestaciones de las partes, que LG tuviera el correo electrónico de la reclamante, para remitirle los resultados de las pruebas, pero si de un correo del Ayuntamiento de Calp dispuesto a tal efecto. De las manifestaciones de este y de LG (manifestó en pruebas que con los resultados, sea positivo o negativo, se informa mediante correo electrónico al responsable del Ayuntamiento), se desprende que la reclamante llega a conocer su analítica mediante el envío por e mail que le hace el Ayuntamiento el día 15/04/2020 por la tarde, si bien la reclamante le manifiesta al Laboratorio que “me ha mandado a mi y a mi jefa el resultado de las pruebas”, no se descarta, porque el Ayuntamiento en sus alegaciones manifiesta que le trasladó al Laboratorio: “ nombres de trabajadores que se iban a realizar la prueba, DNI , y correo electrónico de contacto, tras solicitarles previamente los datos. Como correo electrónico del responsable, se incluyó el de la Concejala Delegada del área “. De estas manifestaciones no aportó documento que lo acredite. QUINTO: La reclamante realiza una queja al Laboratorio, entidad dedicada a prestación de servicios sanitarios en la rama de realización de análisis clínicos, respondiendo este:”la persona contratante del servicio debe tener constancia del resultado, por si hay algún caso positivo tomar las medidas pertinentes, por si se diera el caso que el trabajador es un inconsciente y estando el periodo de contagiar a la gente sigue acudiendo al puesto de trabajo. Por este motivo, este tipo de analíticas se remiten al responsable del servicio.” , si bien en este supuesto el resultado fue negativo, procedió a trasladar al Ayuntamiento el resultado de la analítica de la reclamada. SEXTO: El Ayuntamiento de Calp se refiere a la Concejalía de Servicios Sociales como la responsable del servicio del personal que se efectuó la analítica, y en pruebas aportó copia de “EVALUACIÓN DE RIESGO DE EXPOSICIÓN A CORONAVIRUS” efectuado por el Servicio de prevención de riesgos laborales con el que tiene cubiertos los riesgos laborales, edición inicial 25/03/2020, área, o departamento de “Bienestar Social”, referido entre otro al personal relacionado al que se le sometió la prueba analítica. Además de no contemplar un tipo de análisis preventivos sin síntomas, en ninguno de sus apartados se contempla que en caso de darse algún positivo en un empleado, caso que no ha sido el objeto de la reclamación, sino que fue negativo, se haya de comunicar el resultado completo de la analítica a la empresa, o a un Concejal responsable del área de actividad en que se encuadre. Si señala que la evaluación prevé la participación de los servicios de prevención como servicio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/24 contacto en caso de positivos que valora y efectúa los seguimientos de las cuarentenas. SÉPTIMO LG manifestó en pruebas que a las personas a las que les efectúa los análisis les informa verbalmente de las pruebas a realizar y de la finalidad de las mismas, añadiendo que se suponía que el consentimiento informado con el paciente lo realizaría el Ayuntamiento de Calp. FUNDAMENTOS DE DERECHO I El artículo 4.15 del RGPD define los datos de salud como “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud”. El artículo 4.11 del RGPD indica: “consentimiento del interesado”: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;” En este caso se trata de la salud de los empleados del Ayuntamiento de Calp, personas que prestaban sus servicios en ayuda domiciliaria que podían estar en contacto con el virus y voluntariamente acuden a realizarse la analítica de sangre ofrecida gratuitamente por el Ayuntamiento a los empleados, a través de una empresa privada de análisis clínicos. Los tratamientos de datos personales en situaciones de emergencia sanitaria, lo siguen siendo, de conformidad con la normativa de protección de datos personales (RGPD y LOPDGDD), por lo que se aplican todos sus principios, contenidos en el artículo 5 del RGPD, y entre ellos el de tratamiento de los datos personales con licitud, lealtad y transparencia, de limitación de la finalidad (en este caso, detectar un posible contagio para que no acuda al trabajo, y facilitar el rastreo y seguimiento de contactos de casos positivos, probables o posibles de COVID-19), principio de limitación del plazo de conservación, y por supuesto, y hay que hacer especial hincapié en ello, el principio de minimización de datos. Sobre este último aspecto hay que hacer referencia expresa a que los datos tratados habrán de ser exclusivamente los limitados a los necesarios para la finalidad pretendida, sin que se pueda extender dicho tratamiento a cualesquiera otros datos personales no estrictamente necesarios para dicha finalidad, sin que pueda confundirse conveniencia con necesidad, porque el derecho fundamental a la protección de datos sigue aplicándose con normalidad, sin perjuicio de que, como se ha dicho, la propia normativa de protección de datos personales establece que en situaciones de emergencia, para la protección de intereses esenciales de salud pública y/o vitales de las personas físicas, si fuera el caso, podrán tratarse los datos de salud necesarios para evitar la propagación de la enfermedad que ha causado la emergencia sanitaria. El tratamiento lícito de datos personales ha de tener una base jurídica que se encuadre en alguno de los supuestos previstos en el artículo 6,1 del RGPD. La propia normativa de protección de datos personales (Reglamento (UE) 2016/679 del ParC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/24 lamento Europeo y del Consejo de 27/04/2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos, RGPD) contiene las salvaguardas y reglas necesarias para permitir legítimamente los tratamientos de datos personales en situaciones, como la presente, en que existe una emergencia sanitaria de alcance general. Al aplicarse dichos preceptos previstos para estos casos en el RGPD, en consonancia con la normativa sectorial aplicable en el ámbito de la salud pública, las consideraciones relacionadas con la protección de datos -dentro de los límites previstos por las leyes- no deberían utilizarse para obstaculizar o limitar la efectividad de las medidas que adopten las autoridades, especialmente las sanitarias, en la lucha contra la epidemia, por cuanto ya la normativa de protección de datos personales contiene una regulación para dichos casos que compatibiliza y pondera los intereses y derechos en liza para el bien común. En principio, los datos personales únicamente deben tratarse sobre la base del interés vital de otra persona física cuando el tratamiento no pueda basarse manifiestamente en una base jurídica diferente.(considerando 46) “Como base jurídica para un tratamiento lícito de datos personales, sin perjuicio de que puedan existir otras bases, -como por ejemplo el cumplimiento de una obligación legal, art. 6.1.
  26. c)RGPD (para el empleador en la prevención de riesgos laborales de sus empleados)-, el RGPD reconoce explícitamente las dos citadas: misión realizada en interés público (art. 6.1.
  27. e)o intereses vitales del interesado u otras personas físicas (art. 6.1.d).” Sin embargo, para el tratamiento de datos de salud no basta con que exista una base jurídica del art. 6 RGPD, sino que de acuerdo con el art. 9.1 y 9.2 RGPD exista una circunstancia que levante la prohibición de tratamiento de dicha categoría especial de datos (entre ellos, datos de salud). Así, el artículo 9 del RGPD, tras establecer en su apartado 1 una prohibición general para el tratamiento de estos datos, contempla, su apartado 2, una serie de excepciones en las que el tratamiento de los datos es posible, cuando concurra una de las circunstancias siguientes, (se refieren solo las que tienen relación con el caso de control de la vigilancia de la salud o diagnóstico médico). “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.” 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes: “
  28. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado; […]”
  29. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/24 na física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento; […]”
  30. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
  31. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
  32. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional” […]” 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes.” Por su parte la LOPDGGD, en su artículo 9 indica: “1. A los efectos del artículo 9.2.
  33. a)del Reglamento (UE) 2016/679 , a fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico. Lo dispuesto en el párrafo anterior no impedirá el tratamiento de dichos datos al amparo de los restantes supuestos contemplados en el artículo 9.2 del Reglamento (UE) 2016/679, cuando así proceda. 2. Los tratamientos de datos contemplados en las letras g),
  34. h)e
  35. i)del artículo 9.2 del Reglamento (UE) 2016/679 fundados en el Derecho español deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/24 En particular, dicha norma podrá amparar el tratamiento de datos en el ámbito de la salud cuando así lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social, pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte.” Además, dedica su disposición adicional decimoséptima a los tratamientos de datos de salud, en los siguientes términos: “Disposición adicional decimoséptima. Tratamientos de datos de salud. 1. Se encuentran amparados en las letras g), h),
  36. i)y
  37. j)del artículo 9.2 del Reglamento (UE) 2016/679 los tratamientos de datos relacionados con la salud y de datos genéticos que estén regulados en las siguientes leyes y sus disposiciones de desarrollo: […]”
  38. a)La Ley 14/1986, de 25 de abril, General de Sanidad.
  39. b)La Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales.
  40. c)La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.
  41. d)La Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud.
  42. e)La Ley 44/2003, de 21 de noviembre, de ordenación de las profesiones sanitarias. […]”
  43. g)La Ley 33/2011, de 4 de octubre, General de Salud Pública. “ Es decir, el RGPD y la LOPDGDD legitiman el tratamiento de datos de salud, si no existiera consentimiento explicito del interesado, sí concurre algunos de los mencionados supuestos, añadiéndose, que además, como cualquier tratamiento, ha de ajustarse a una base jurídica legitimadora y cumplir los principios generales establecidos en el artículo 5 del citado RGPD. La reclamante reconoce que voluntariamente optó por practicarse la prueba de extracción y análisis de sangre, por lo tanto existía consentimiento en si para la practica de la prueba. Además, se da el caso de que se produce una asistencia sanitaria a la que se presta la reclamante según marca el esquema del artículo 9.2.
  44. h)RGPD. Sin embargo, que se someta a esta prueba no lleva per se a que los resultados en forma de traslado de la comunicación de la analítica practicada, se comuniquen al contratante, Ayuntamiento, a no ser que expresamente hubiera consentimiento especifico e informado, y explicito de dicho extremo, circunstancia que motiva la imputación a LG la infracción del artículo 5.1.
  45. f)del RGPD. II La reclamada es una entidad que trata datos de salud, además, el artículo 4 del RGPD define: El artículo 4 del RGPD define: “2)«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/24 […]” 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” Debe examinarse la posición jurídica de LG que contrata o del Ayuntamiento de Calpe que acepta los términos propuestos por el Laboratorio, la “realización del análisis sanguíneo del COVID 19, para la determinación serológica de los niveles de anticuerpos Ig G – Ig M,” De acuerdo con la naturaleza de la transmisión de datos, debe diferenciarse si se trata de una comunicación de datos o la prestación de un servicio en nombre y por cuenta de Ayuntamiento al que le presta el servicio. Para que LG pudiera ser considerado encargado del tratamiento, debería limitar su actividad a los términos previstos en el artículo 28 del RGPD, tratando los datos por cuenta del responsable, de acuerdo con sus instrucciones, y cumplida la prestación devolver los datos o destruirlos. LG, como prestador de servicios de asistencia sanitaria ha de ser considerado un centro sanitario, definido en el articulo 3 de la Ley 41/2002 de 14/11, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, como “el conjunto organizado de profesionales, instalaciones y medios técnicos que realiza actividades y presta servicios para cuidar la salud de los pacientes y usuarios”. El artículo 14.2 de la mencionada Ley dispone que “Cada centro archivará las historias clínicas de sus pacientes, cualquiera que sea el soporte papel, audiovisual, informático o de otro tipo en el que consten, de manera que queden garantizadas su seguridad, su correcta conservación y la recuperación de la información”, añadiendo el artículo 17.1 de la propia Ley que “Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial”. En consecuencia, junto con el posible tratamiento que pudiera derivarse de la relación jurídica existente entre el LG y la entidad que solicita el servicio, la Ley 41/2002 impone a aquél la obligación del tratamiento de los datos que hayan de incorporarse a la historia clínica del paciente, excediendo obviamente dicho tratamiento de “las instrucciones del responsable del tratamiento”, lo que determina la imposible aplicación de la posición jurídica de la figura del encargado de tratamiento, y la imposibilidad de considerar que LG como centro sanitario, o prestador de tales servicios, sea un mero encargado del tratamiento de la entidad por cuyo encargo realiza los análisis clínicos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/24 Por este motivo, debe considerarse que LG es responsable del tratamiento que realice, derivado de los análisis clínicos que haya efectuado. III Se imputa a LABORATORIOS GONZÁLEZ, S.L. la presunta infracción del artículo 5.1.
  46. f)del RGPD que indica: “Los datos personales serán: “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” La LOPDGDD señala en su artículo 5: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  47. f)del Reglamento (UE) 2016/679” Se acredita que LG impuso en sus condiciones y el Ayuntamiento no lo negó, el traspaso o comunicación de los resultados de las pruebas analíticas, sin especificar si positivos o negativos, al Ayuntamiento, y que tal comunicado se lleva a cabo el 15/04/2021, comunicándolo el Ayuntamiento de Calpe que lo había recibido de LG, a la reclamante y copia a su Jefa, Concejala de Servicios Sociales. El deber de secreto de los resultados, que forma parte de la historia clínica se refiere varios artículos de la Ley 41/2002 ya mencionada en los siguientes términos: - La exposición de motivos refiere la confidencialidad, relacionada con la intimidad relativa a la información relacionada con la salud. -articulo 7:”1. Toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la Ley. 2. Los centros sanitarios adoptarán las medidas oportunas para garantizar los derechos a que se refiere el apartado anterior, y elaborarán, cuando proceda, las normas y los procedimientos protocolizados que garanticen el acceso legal a los datos de los pacientes” - Los términos en que se configuran el acceso a la historia clínica no encuadran a alguien que no es el titular propio de los datos, único al que pertenecen sus propios resultados. “Este deber de sigilo resulta esencial en las sociedades actuales cada vez mas complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/24 derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”(Sentencia de la Audiencia Nacional, de fecha 14/09/2001). Por lo demás comunicar resultados negativos, con el análisis completo efectuado al Ayuntamiento, no es ni necesario ni proporcional, acreditándose la infracción. IV El artículo 83.5 del RGPD indica: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  48. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” El artículo 58.2 del RGPD dispone: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  49. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;”
  50. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” Sobre las medidas adoptadas tras el acuerdo de inicio, la reclamada señala que ahora: “ El paciente que viene a realizarse una toma de muestra está informado por su empresa de la finalidad y tratamiento de dicha analítica y que puede manifestar que el resultado se le remita solo a él, y no a la empresa contratante en el momento de la toma de la muestra”. No es adecuado, dado que el reclamante es el responsable del tratamiento que lleva a cabo haciendo las pruebas y custodiando los datos. El Laboratorio es el que debe proporcionar la información de la recogida de datos, y los resultados de la analítica. En cuando al comunicado de los resultados a través del informe completo de la prueba, no ha de instaurar por defecto manifestación alguna del interesado, sino que los datos en el contenidos se han de enviar solo a el. Cuestión distinta es comunicar los positivos, frente a lo que tampoco es necesario enviar los resultados completos, pudiendo instaurar otros medios que no comprendan el análisis integro. V C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/24 La LOPDGDD establece, a efectos de prescripción, en el artículo 72, lo siguiente: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  51. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. VI La determinación de la sanción que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y.2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  52. a)a
  53. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  54. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  55. b)la intencionalidad o negligencia en la infracción;
  56. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  57. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  58. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  59. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  60. g)las categorías de los datos de carácter personal afectados por la infracción;
  61. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  62. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  63. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de cerC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/24 tificación aprobados con arreglo al artículo 42, y
  64. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  65. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  66. a)El carácter continuado de la infracción.
  67. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  68. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  69. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  70. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  71. f)La afectación a los derechos de los menores.
  72. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  73. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” Para la valoración de la sanción, se contemplan los siguientes factores: -83.2.
  74. a)del RGPD, “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido” La consideración del proceso , como no individual sino que afecta a las mismas operaciones de tratamiento del grupo al que se practicaron las pruebas, al ser la praxis de comunicar los resultados. -83.2.
  75. g)del RGPD “las categorías de los datos de carácter personal afectados por la infracción” Se trata de datos de categoría especial, de salud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/24 -76.2b) “ La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.”, ya que ejerce un tipo de servicios habituales en los que cobra alta relevancia el tratamiento de datos. Como consecuencia, con los elementos que se disponen, se cuantifica la sanción en 20.000 euros. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a LABORATORIOS GONZÁLEZ, S.L., con NIF B03997434 por una infracción del artículo 5.1.
  76. f)del RGPD, tipificada en el artículo 83.5
  77. a)del RGPD, y en el artículo 72.1.
  78. a)de la LOPDGDD, con una multa de 20.000 € (veinte mil euros). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000 euros, y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-260122 R.R.R. INSPECTOR/INSTRUCTOR >> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/24 SEGUNDO: En fecha 15 de marzo de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 16000 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/24 del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00323/2021, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a LABORATORIOS GONZÁLEZ, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  79. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-240122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.