PS-00364-2021

1/27  Expediente Nº: PS/00364/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la reclamante) con fecha 16/04/2020, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra LABORATORIOS GONZÁLEZ, S.L. (en lo sucesivo RECLAMADO). Los motivos en que basa la reclamación son que su centro de trabajo, Ayuntamiento de ***AYUNTAMIENTO.1, inició “ayer “un proceso consistente en la extracción y análisis de sangre para detección de anticuerpos COVID-19 a través de un “laboratorio privado” “a lo que consentí expresamente”, “pasaron mis resultados de anticuerpos COVID 19, mi sorpresa fue que me dieron el resultado me lo dieron por la tarde a través de mi correo electrónico a mi y a mi jefa-representación política”. “Pedí explicaciones a la empresa, puesto que nadie me ha informado de eso”. Añade que en todo caso se debiera haber comunicado solo los casos positivos, pero a Sanidad, no a “mi Concejala y/o Alcaldesa”. Junto a la reclamación aporta copia de: -Email dirigido a RECLAMADO el 16/04/2020, con literal: “me ha mandado mi resultado medico a mi y a mi jefa y usted no tiene mi consentimiento para dar este dato personalísimo a nadie más que a mi”, y la respuesta que transcribe el laboratorio: ”..la persona contratante del servicio debe tener constancia del resultado, por si hay algún caso positivo tomar las medidas pertinentes, por si se diera el caso que el trabajador es un inconsciente y estando el periodo de contagiar a la gente sigue acudiendo al puesto de trabajo. Por este motivo este tipo de analíticas se remiten al responsable del servicio..." SEGUNDO: A la vista de los hechos manifestados en la reclamación y de los documentos aportados, motivándose la no aplicación de la suspensión de plazos, la Subdirección General de Inspección de Datos trasladó el 27/04/2020 a los efectos de lo previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12 de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la reclamación al reclamado y al AYUNTAMIENTO de ***AYUNTAMIENTO.1 (investigado). Se les solicitaba: “1. La decisión adoptada a propósito de esta reclamación. 2. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 3. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/27 4. Cualquier otra que considere relevante.” TERCERO: Reclamado, con fecha 14/05/2020, manifiesta: 1. La notificación se envía directamente al responsable del servicio (en este caso la Concejala). 1. “La base legal para el tratamiento ha cambiado debido a la situación de alarma por la epidemia del COVID-19, ya no es el consentimiento expreso de la empleada sino que se legitima a la empleadora (Ayuntamiento de ***AYUNTAMIENTO.1) a realizar las pruebas y analíticas para detectar el COVID-19 a sus trabajadores y además, a conocer los resultados de las pruebas, así como a comunicárselos a la empleada del Ayuntamiento”. 2. “Por razones sanitarias de urgencia o necesidad se ha previsto que las Administraciones publicas y autoridades sanitarias competentes serán quienes deberán adoptar las decisiones necesarias”. “Lo anterior hace referencia expresamente a la posibilidad de tratar los datos personales de salud de determinadas personas físicas por los Responsables de Tratamiento de datos personales, en este caso “Ayuntamiento de ***AYUNTAMIENTO.1”, cuando por indicación de las autoridades sanitarias competentes, es necesario comunicar a otras personas con las que dicha persona física ha estado en contacto la circunstancia del contagio de esta, para salvaguardar tanto a dichas personas físicas de la posibilidad de contagio (intereses vitales de las mismas) cuando para evitar que dichas personas físicas, por desconocimiento de su contacto con un contagiado puedan expandir la enfermedad a otros terceros (intereses vitales de terceros e interés público esencial y/o cualificado en el ámbito de la salud pública). Del mismo modo, y en aplicación de lo establecido en la normativa de prevención de riesgos laborales, y de medicina laboral, los empleadores podrán tratar, de acuerdo con dicha normativa y con las garantías que estas normas establecen, los datos de sus empleados necesarios para garantizar la salud de todos sus empleados, lo que incluye igualmente al resto de empleados distintos del interesado, para asegurar su derecho a la protección de la salud y evitar contagios en el seno de la empresa y/o centros de trabajo.” 3. Aporta copia de: “PRESUPUESTO ANALÍTICA COVID 19” sin fecha ni firma y donde consta: - “Según conversación mantenida, la realización del análisis sanguíneo del COVID 19, para la determinación serológica de los niveles de anticuerpos Ig G – Ig M, llevaría un importe de € por cada trabajador.” “En caso de aceptar dicho presupuesto, con antelación del día de la realización se ha de disponer de un listado de los trabajadores en formato excel en los que deben de figurar: Nombre completo del trabajador; DNI; Fecha de nacimiento; teléfono y un correo centralizado de la empresa donde remitir los resultados. Los trabajadores deben de saber que este laboratorio enviara una copia de dicha analítica a la dirección de la empresa, para que ésta tenga constancia del estado de salud de sus trabajadores en relación a una posible infección por COVID 19. Así mismo los casos positivos se comunicarán al servicio de Epidemiología de la Conselleria de Sanidad (0rden de 04/03/1977 de la Conselleria de Sanidad). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/27 Si algún trabajador no está de acuerdo en que dichos resultados se comuniquen a la empresa, lo debe de manifestar en el momento de la extracción de sangre, aportando un correo electrónico donde comunicarle el resultado.” 5. Aporta copia del informe del Gabinete Jurídico de la AEPD número 17/2020 “en relación con los tratamientos de datos resultantes de la actual situación derivada de la extensión del virus COVID-19”, de 12/03/2020, que indica en el artículo 9.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), los distintos supuestos que pueden concurrir en función de las circunstancias para el tratamiento de datos de salud, levantando la prohibición del artículo 9.1 de la misma norma. CUARTO: Con fecha 1/06/2020, AYUNTAMIENTO DE ***AYUNTAMIENTO.1 informa y manifiesta: 1. “La causa que origina la incidencia viene dada por la interesada por la remisión del resultado de las pruebas realizadas por COVID-19 por correo electrónico, con copia a su superior, originando malestar en la interesada por la comunicación”. Con fecha 11/04/2020 “se propuso a los trabajadores del área de servicios sociales someterse de forma voluntaria a una prueba de anticuerpos COVID-19.”, por ser empleados que están en primera línea, en algunos casos en contacto directo con pacientes de COVD-19. “Que teniendo en cuenta la base legitimadora de obligación legal, interés público en el ámbito de la salud pública/medicina preventiva o laboral y/o diagnóstico médico, desde la Concejalía de Servicios Sociales se decide y se aprueba la contratación de un Laboratorio Externo: Laboratorios González S.L.” que antes había realizado análisis de sangre al personal del servicio de protección civil de ***AYUNTAMIENTO.1. Aceptaron veinticinco personas. “Se facilitó a la empresa nombres de los trabajadores que se llevan a realizar la prueba, DNI y correo electrónico de contacto, tras solicitarles previamente los datos. Como correo electrónico del responsable se incluyó el de la Concejala delegada del Área”. “El 15/04, los trabajadores se realizaron la analítica y ese mismo día se comunicó a cada uno el resultado de la prueba por email, poniendo en copia en cada email a la Concejala Delegada del Área.” “La interesada traslada por correo electrónico, con fecha 16/04/2020, el malestar al Laboratorio que ha realizado las pruebas, indicando que no ha dado consentimiento para tal comunicación.” 1. “Se están estudiando los consentimientos del Laboratorio externo contratado para comprobar el correcto cumplimiento en materia de protección de datos.” 2. Se ha enviado un comunicado a la afectada. 3. Han solicitado información al Laboratorio acerca de los deberes de información, auditoría en materia de protección de datos, o documentación equivalente como evidencia de medidas técnicas y organizativas, copia de los emails remitidos, pero, a fecha de 27/05/2020, no han recibido contestación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/27 4. ”No ha sido comunicado el nombre de las personas que han dado positivo en las pruebas al personal de la entidad.” 5. “El Ayuntamiento de ***AYUNTAMIENTO.1 reforzará el consentimiento para el caso de futuras pruebas teniendo presente el deber de información.” QUINTO: La Directora de la AEPD, de conformidad con lo previsto en el artículo 65 de la LOPDGDD, con fecha 9/10/2020 acuerda admitir a trámite la presente reclamación. SEXTO: Con fecha 1/03/2021, en el seno de las actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, y artículo 67 de la LOPDGDD se solicita a RECLAMADO, que aporte: “1. Copia del contrato firmado con el Ayuntamiento de ***AYUNTAMIENTO.1 en relación a la realización de las analíticas. 2. Acreditación de la información facilitada a la reclamante en relación al tratamiento de datos personales así como a quién informarían del resultado de la analítica.” Con fecha 17/03/2021, el reclamado responde que no hay contrato firmado, la sistemática es:

1. a)La Concejalía se pone en contacto con el Laboratorio, solicitando un presupuesto, que ya se remitió en contestación anterior. Una vez aceptado el presupuesto, la Concejalía lo pasa a su departamento económico para realizar una reserva de crédito.
2. b)“El día de la toma de muestras se dice al personal (el cual está reunido en una sala) que los resultados se remitirán al Concejal de turno y al interesado, no mostrando ninguno su oposición verbal o escrita a realizar dicha prueba y a que se comuniquen los resultados al concejal de turno.” SÉPTIMO: Con fecha 14/07/2021, la Directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR al AYUNTAMIENTO DE ***AYUNTAMIENTO.1, con NIF P0304700H por la presunta infracción del RGPD, artículos: - 6.1, de conformidad con el 83.5.a). -25.1, de conformidad con el 83.4.a).” La sanción propuesta era la de apercibimiento, conforme señala el artículo LOPDGDD. 77 de la Contra el reclamado se sigue el procedimiento PS/00323/2021. OCTAVO Con fecha 2/08/2021, el Ayuntamiento de ***AYUNTAMIENTO.1 manifestó: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/27 1) No existe infracción en la conducta del Ayuntamiento de ***AYUNTAMIENTO.1 en el tratamiento de los datos del análisis COVID-19 realizado voluntariamente por la reclamante basado en el consentimiento de la afectada. “Los resultados de las pruebas fueron comunicados tanto a los trabajadores individualmente como a la Concejala responsable del servicio, por ser este el protocolo a seguir por LABORATORIOS GONZALEZ S.L., y haber sido expresamente consentido por los trabajadores”. “Los datos fueron enviados al responsable del servicio “por protocolo del servicio del laboratorio”, limitados a comprobar la existencia de anticuerpos en sus empleados.” 2) La base jurídica del tratamiento puede ser múltiple, tanto de interés público, o vital, de acuerdo con el considerando 46. Como indica el acuerdo, la prohibición de tratamiento de datos personales cede cuando concurren alguna de las circunstancias del articulo 9.2 del RGPD” ”En el presente supuesto se dan varias de ellas, como la del apartado a), b), c), g),
3. h), i). Se ha de tener en cuenta las circunstancias excepcionales del contexto social y sanitario en que acaecieron los hechos “En el contexto del estado de alarma, las pruebas pueden aplicarse en el ámbito laboral, en la medida en que, en el contexto de una política de prevención de riesgos laborales, son un instrumento idóneo para evitar el contagio y propagación de la pandemia, siendo esta la finalidad de su practica y su base legitimadora”. “Las pruebas se practicaron en aquellos trabajadores que mostraron expresamente su consentimiento, siendo conocedores de que se comunicaría a la empresa el resultado, salvo que manifestasen su disconformidad en el momento de la extracción de sangre, lo que no sucedió en el presente caso “Se produce un tratamiento de datos exclusivamente limitados al resultado de la prueba COVID 19 realizada, basada en el consentimiento de la propia afectada” 3) El tratamiento de estos datos se ha efectuado en todo momento aplicando los principios de transparencia, limitación de la finalidad, exactitud y minimización que rigen la normativa aplicable en la materia de protección de datos. De acuerdo con estos principios, el Ayuntamiento trató los datos de salud derivados exclusivamente de las pruebas diagnóstico del COVID-19, siendo su único destino la adopción de las medidas necesarias para garantizar la seguridad de los empleados y evitar la propagación del virus entre los mismos, y conservándose los resultados únicamente durante el tiempo estrictamente necesario para controlar la pandemia. NOVENO: Con fecha 7/02/2022, se inicia período de práctica de pruebas dando por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento E/08228/2020. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por AYUNTAMIENTO DE ***AYUNTAMIENTO.1 y la documentación que a ellas acompaña. Se amplia a la petición de información que se efectúa al AYUNTAMIENTO DE ***AYUNTAMIENTO.1, para que informe o responda a las siguientes cuestiones:
4. a)Categoría, número y tipo de actividad laboral que desarrollaba el personal a los que se les ofreció la prueba COVID. Si todos desarrollaban las mismas funciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/27 ¿Porque si los empleados realizaban en la prestación del servicio contacto diario con población de riesgo, no se decidió la obligación de la realización de la prueba en base a la LPRL, art 22 a todo el colectivo.? Informen si existía valoración del grado de riesgo laboral de estos empleados. Con fecha 1/03/2022 ,se recibe respuesta en la que manifiesta que la realización de las pruebas analíticas se circunscribió inicialmente solo al Departamento de Servicios Sociales, al personal que “prestaba servicio de forma presencial en contacto con otros compañeros y usuarios.” En el contexto de la declaración de Estado de alarma, a mediados de abril del 2020, teniendo abiertos al público servicios de carácter esencial, como prestación de ayuda domiciliaria a personas dependientes o atención a usuarios con necesidades básicas, constituía un riesgo que debía atenuarse en la medida de lo posible, La decisión de realizar las pruebas vino precedida de una petición de los propios afectados y en tal sentido “se arbitró una fórmula lo más sencilla posible, cuál fue la contratación por parte del Ayuntamiento de un laboratorio para llevar a efecto las pruebas.” Esta medida debe entenderse como una decisión del Ayuntamiento tendente a mejorar “la prevención de un riesgo laboral muy concreto”. La idea inicial fue que de forma preferente se sometieran a las pruebas “ las trabajadoras del servicio de atención a domicilio que prestaban auxilio a personas dependientes de avanzada edad si bien la definitiva fue que se ofreciera esta posibilidad a todos los trabajadores de servicios sociales sin que la misma fuera obligatoria.” El artículo 14 de la Ley 31/1995 de prevención de riesgos laborales obliga al empresario a garantizar sin excusas ni excepciones la seguridad y la salud de los trabajadores a su servicio en todos los aspectos relacionados con el trabajo, quedando obligado a adoptar cuantas medidas sean necesarias en evitación de riesgos graves. “El artículo 22 de la citada ley puede incluso obligar a la realización de estas pruebas en aras a evitar riesgos específicos para el propio trabajador, sus compañeros o los usuarios, tratándose estas de una medida claramente preventiva.” “Por supuesto el resultado de estas pruebas tiene que ser conocido por el empleador pues de otro modo resulta imposible implementar las medidas de prevención en orden a apartar a aquellos trabajadores contagiados para evitar la proliferación del virus.” “Este conocimiento del resultado de las pruebas por parte del empleador queda legitimado a partir de lo dispuesto en el artículo 22 de la citada ley de prevención de riesgos laborales”.
5. b)Informen si tenían aprobado un Plan Específico de Prevención de Riesgos Laborales ante el Coronavirus. Informen con que entidad y con que modalidad de prevención de riesgos laborales se da cobertura a la salud y seguridad de su personal, y papel que a la fecha de los análisis estaba desempeñando dicho Servicio de Prevención de Riesgos Laborales (SPRL) Respondió que en abril del 2020, el Ayuntamiento con la mayoría de sus servicios cerrados al público y sus empleados confinados en sus domicilios, tomó la decisión por la obligación del trabajo presencial y contacto directo con usuarios de avanzada edad, especialmente vulnerables, de la realización de las pruebas de detección del virus en el citado Departamento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/27 “En este contexto tan particular no hacía falta un plan de prevención específico pues para detectar el contagio en aquellas personas asintomáticas, este tipo de pruebas analíticas eran la única medida posible en aquel momento tan crítico”. En cuanto al SPRL, informa que lo desempeña la empresa CUALTIS SL, y que éste procedió a efectuar evaluación de riesgos de exposición a virus en los distintos centros, a medida que se fue recuperando la actividad presencial en los mismos. En el momento de los hechos denunciados no había plan de prevención frente al COVID dado el carácter extraordinario imprevisto de la pandemia Así mismo, señalar respecto al procedimiento que se sigue actualmente en la elaboración de las pruebas PCR, que se ofrece la posibilidad a las personas que han tenido contacto con un compañero o compañera que sea positivo tras una prueba de antígenos o PCR de ámbito laboral y en horario de trabajo. La persona que entiende que se encuentra en esas circunstancias debe comunicarlo a su responsable, y solicitar someterse a la prueba en nuestro departamento de Sanidad. Desde el departamento de Sanidad toman los siguientes datos, para remitirlos a la clínica HCB: - Nombre y apellidos. - Nº teléfono (localizable). - Correo electrónico. Y, se le indica que desde la clínica HCB se pondrá en contacto con ellos para darles cita y hacer la PCR. Respecto al resultado, se comunica al correo electrónico que el/la trabajador/a da a HCB, y éste se lo envía mediante contraseña privada. En caso de ser positivo, el trabajador lo debe comunicar a su responsable, ponerse en contacto con el servicio público de salud, y remitir la baja a recursos humanos a la mayor brevedad. Aporta copia de “EVALUACIÓN DE RIESGO DE EXPOSICIÓN A CORONAVIRUS” edición inicial 25/03/2020, última actualización 11/06/2020, al Ayuntamiento de ***AYUNTAMIENTO.1, Bienestar Social, realizada en base a las circunstancias excepcionales debido al estado de alarma decretado en el Real Decreto 463/2020 de 14/03 y su reglamentación derivada. En las tareas a evaluar y en puesto de trabajo, las referidas auxiliar a domicilio o ayudante, con tareas de atención a personas mayores enfermas e impedidas. También se valoran otros puestos como personal de oficina o de conserje en atención al público. Aporta un cuadro de clasificación en tres rangos de escenarios de riesgo exposición coronavirus en el entorno laboral. Como aspectos relevantes se podrían significar que se contienen medidas de carácter general de aplicación en los centros de trabajo para caso de que un trabajador empezara a tener síntomas compatibles con la enfermedad, y el proceso asociado que incluye “contacto de inmediato con el teléfono habilitado para ello por la comunidad autónoma o centro de salud correspondiente, y, en su caso, con los correspondientes servicios de prevención de riesgos laborales, y medidas mas concretas para el sector de atención domiciliaria” de conformidad con lo dispuesto en el Documento Técnico para el manejo domiciliario del COVID19 publicado por el Ministerio de Sanidad del Gobierno de España (versión 17 de marzo de 2020), para los que se prevé prácticamente lo mismo, que en caso de presentar “sintomatología respiratoria no deberán acudir al trabajo. Deberán consultar a los servicios sanitarios para realizar una valoración individualizada sobre la pertinencia de la continuidad de sus actividades laborales.”, añadiendo que_ “-Si se confirmara que el/la auxiliar ha dado positivo en coronavirus, será la empresa la responsable de comunicarlo a los usuarios/as que haya atendido o a sus familiares. Además, deberá establecer comunicación con los usuarios del servicio con los que dicho/a auxiliar haya estado en contacto durante los últimos 14 días” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/27 También se prevén “medidas generales para PROTECCIÓN DE LA SALUD DEL PERSONAL ASISTENCIA A USUARIOS/AS AFECTADOS POR CORONAVIRUS” “4.4. Normas de actuación si se presentan síntomas de la enfermedad Si los síntomas aparecen en el domicilio: Todo aquel trabajador que presente síntomas compatibles con la enfermedad no acudirá al centro de trabajo, lo comunicará a la empresa y se pondrá en contacto con los servicios de salud, siguiendo las recomendaciones que le indiquen. Mantendrá informada a la empresa de la evolución. Se deberá valorar la posible presencia de trabajadores que hayan tenido un contacto estrecho con este trabajador, considerando como contacto estrecho a cualquier persona que haya estado en el mismo lugar que un caso, a una distancia menor de 2 metros y durante más de 15 minutos. El periodo para considerar será desde 2 días antes del inicio de síntomas hasta el momento en el que el caso es aislado. Los contactos estrechos de casos confirmados realizarán cuarentena domiciliaria durante 14 días desde la fecha de último contacto con el caso, realizándose seguimiento por parte del Servicio de Prevención.
6. c)Información que se proporcionó al personal sobre el tratamiento de los datos relacionados con el análisis de sangre, y comunicación de resultados, cuyos extremos se contienen en el artículo 13 del RGPD. Deben considerar que en el presupuesto que recibieron del laboratorio figuraba y conocían -que se le tendría que proporcionar junto al listado de los trabajadores, “un correo centralizado de la empresa donde remitir los resultados “ -que “los trabajadores deben saber que se enviará una copia de dicha analítica a la dirección de la empresa.” -que ”Si algún trabajador no está de acuerdo en que dichos resultados se comuniquen a la empresa, lo debe de manifestar en el momento de la extracción de sangre, aportando un correo electrónico donde comunicarle el resultado”. Responde que “la información a los afectados sobre el tratamiento de los datos de carácter personal fue facilitada por el Laboratorio y todos los que se realizaron la prueba firmaron su consentimiento con pleno conocimiento de las prescripciones legales.”
7. d)Cual era la finalidad de que la respectiva Concejalía conociera el análisis completo, junto a su nombre y apellidos y se decidiera proporcionar su e mail al laboratorio, y si no se opuso por el Ayuntamiento razonamiento a esta petición del laboratorio. Razone si no existía otra opción que no incluyera ese comunicado a Concejalía para no difundir datos de resultados como en este caso, negativos. Responde que la finalidad de que la Concejalía conociera el resultado de las pruebas es tan obvia como justificada pues se trataba de verificar si existía algún empleado contagiado en aras de implementar todas las medidas de prevención. El objetivo de la prueba era el de garantizar la seguridad de los empleados y usuarios, siendo “el único propósito de la prueba suministrar información al Ayuntamiento para evitar riesgos a las personas. “Y considerando la carencia de personal en ese momento, resulta patente que no había otra opción, dado que la Concejalía asumió la responsabilidad de garantizar la seguridad a los trabajadores y usuarios”.
8. e)Si intervino en el diseño del proceso del tratamiento de datos el Delegado de protección de datos, informe realizado. Si no intervino, motivo por el que no lo hizo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/27 Señalan que no intervino en la decisión porque no se entendió necesario y además porque la situación de confinamiento impedía trabajar con normalidad en esas fechas.
9. f)Explicación de si se contempló algún criterio facultativo para la realización de las pruebas diagnósticas para la detección del COVID-19 al personal referido, para la realización del análisis sanguíneo del COVID 19, para la determinación serológica de los niveles de anticuerpos Ig G – Ig M Señala que el criterio facultativo seguido fue el recomendado por el laboratorio contratado teniendo en cuenta que en aquella época las pruebas PCR eran la excepción debido a su escasez y los test de antígenos eran prácticamente inexistentes. “El propio Servicio Nacional de salud, en abril del 2020, no tenía un protocolo claro para la detección preventiva de la enfermedad.”
10. g)Si entre las pruebas practicadas se produjo algún positivo, y cual era el procedimiento para seguir, una vez obtenidos los resultados, fueran negativos o positivos, considerando que era una prueba de detección de anticuerpos que revelan que se ha pasado el virus, y motivo por el que no se realizó otro tipo de prueba y se concretó en esta. Respondió que las pruebas realizadas no evidenciaron ningún contagio positivo, “si bien en algún caso sí permitieron conocer rastros de contagio previo en algún trabajador“”. “Se trató de una medida adoptada in extremis, con la única finalidad de aislar a aquellos trabajadores que pudieran contagiar la enfermedad”. “No hubo que aplicar ningún protocolo porque no se detectó ningún contagio activo”.
11. h)En base a las medidas de cumplimiento (art 25 del RGPD) se le solicita copia del registro documental que tiene que disponer antes de llevar a cabo los tratamientos de datos, en cuanto a los riesgos que entrañan el tratamiento de datos para los derechos de las personas, medios y modo de tratamiento para aplicar de forma efectiva el principio de confidencialidad en el concreto examen de extracción de muestras sanguíneas para la finalidad que se pretendía. No responde.
12. i)En base a las medidas de cumplimiento (art 5.2 del RGPD documentación que de soporte especifico a la base legitima de tratamiento que consideren es la que concurría para la realización de las pruebas y la comunicación al Concejal, considerando la finalidad del colectivo, el contexto, y la voluntariedad de someterse o no a la misma. No responde.
13. j)Copia del registro de actividad de tratamiento (art 30 RGPD) No responde.
14. k)Si con posterioridad a esta reclamación se han tomado medidas a tener en cuenta para que hechos como los denunciados no se reiteren, explicar cuales. No responde. Por otro lado, a LABORATORIOS GONZÁLEZ SL, PS/00323/2021, (se incorpora por guardar conexión con los hechos analizados), lo solicitado en el mismo período de pruebas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/27
15. a)Si a las personas a las que toma las muestras se les informó de los datos de salud que se van a recoger, de su tratamiento, finalidad y el resto de los elementos que se contienen en el artículo 13 del RGPD. Copia de la información que se proporcionó en este caso a la reclamante. Con fecha 15/02/2022 se recibe contestación, manifestando que se les informó verbalmente de las pruebas a realizar y finalidad de las mismas. “Por error logístico, se suponía que el consentimiento informado con el paciente, se realizó en el Ayuntamiento de ***AYUNTAMIENTO.1 y no se recogió en el momento de la extracción sanguínea, al ser una prueba voluntaria”.
16. b)¿Que hizo posteriormente con los datos de los resultados de los análisis.? Manifiesta que “con el resultado, positivo/negativo, se informa mediante correo electrónico al responsable del Ayuntamiento, empresa que nos contrata para este fin, y a la interesada que acudió voluntariamente a realizar la prueba.”
17. c)Si ha introducido variaciones en la forma de remisión de los resultados de las pruebas practicadas, o del contenido en casos negativos o positivos y motivos. Responde que “Si. El paciente que viene a realizarse una toma de muestra está informado por su empresa de la finalidad y tratamiento de dicha analítica y que puede manifestar que el resultado se le remita solo a él, y no a la empresa contratante en el momento de la toma de la muestra”. DÉCIMO: Con fecha 7/03/2022, se emite propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione con apercibimiento a AYUNTAMIENTO DE ***AYUNTAMIENTO.1, por la infracción del RGPD, artículos: - 9.2.
18. a)del RGPD, de conformidad con el 83.5.
19. a)del mismo, tipificada como muy grave en el artículo 72.1.
20. e)de la LOPDGDD. -25.1 del RGPD, de conformidad con el 83.4.
21. a)del mismo, tipificada como grave en el artículo 73.
22. d)de la LOPDGDD.” DÉCIMO PRIMERO: Ayuntamiento de ***AYUNTAMIENTO.1 efectúa siguientes alegaciones: el 17/03/2002, las 1) Muestra su disconformidad con la sanción del artículo 9.2.
23. a)del RGPD, pues el Ayuntamiento al efectuar las prueba diagnósticas a sus empleados tiene el objetivo de proteger el derecho a la vida y a la salud. Reitera que cuando se toma esa decisión, abril 2020, el país estaba confinado y con unos trabajadores esenciales que prestaban servicio en forma presencial. Por tanto, la decisión de solicitar la analítica para la detección de contagios tuvo dos finalidades una de prevención de riesgos laborales y otra como medida para evitar contagios. Incide en que el resultado de esos análisis tenía que ser conocido por el Ayuntamiento, para poder adoptar las medidas como responsable del servicio. No contrató la prueba para el conocimiento solo de los empleados. El conocimiento exclusivo del empleado no tenia sentido cuando se trataba de adoptar medidas. Considera que el consentimiento para hacerse los análisis, implicaba que el resultado iba a ser comunicado al Ayuntamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/27 2) Manifiesta que en el tratamiento de datos de salud concurre la causa que levanta la prohibición del artículo 9.2 del RGPD, en los literales b), c), y h). 3) Sobre la infracción del artículo 25 del RGPD, el Ayuntamiento solo pidió al Laboratorio conocer el resultado de la prueba a los solos efectos de verificar si había algún contagio entre sus empleados, por lo que si los responsables del Laboratorio remitieron algún dato adicional es su responsabilidad. Consideran que no era preciso en el caso concreto tomar ninguna medida de las referidas en ese articulo 25 del RGPD. DÉCIMO SEGUNDO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 11/04/2020 la Concejalía de Servicios Sociales del Ayuntamiento de ***AYUNTAMIENTO.1 propuso a trabajadores del área de servicios sociales someterse de forma voluntaria a una prueba de anticuerpos COVID-19. No figura documento de la misma, aceptando hacerse la prueba la reclamante, que se realizó en las oficinas del Ayuntamiento la mañana del 15/04/2020. La prueba que se realiza a la reclamante y a 24 empleados mas, el 15/04/2020, consistía en un análisis sanguíneo del COVID 19, para la determinación serológica de los niveles de anticuerpos Ig G – Ig M, recomendado y contratado con un laboratorio externo: LABORATORIOS GONZÁLEZ S.L, (LG ) al que se le sigue por los mismos hechos procedimiento sancionador PS/00323/2021. Algunos de los empleados sobre los que se practicaron las pruebas prestan servicios en ayuda domiciliaria en contacto con personas vulnerables. SEGUNDO: Como forma de articular comunicar los resultados a los empleados que se practican las pruebas y que sirve como procedimiento adoptado en este proceso, el Ayuntamiento de ***AYUNTAMIENTO.1e aceptó unas condiciones, que LG le presentó, reflejadas en el documento PRESUPUESTO ANALÍTICA COVID 19, que indicaba los siguientes requisitos: - “se ha de disponer de un listado de los trabajadores en formato excel en los que deben de figurar: Nombre completo del trabajador; DNI; Fecha de nacimiento; teléfono y un correo centralizado de la empresa donde remitir los resultados. - Los trabajadores deben de saber que este laboratorio enviará una copia de dicha analítica a la dirección de la empresa, para que ésta tenga constancia del estado de salud de sus trabajadores en relación a una posible infección por COVID 19. Si algún trabajador no está de acuerdo en que dichos resultados se comuniquen a la empresa, lo debe de manifestar en el momento de la extracción de sangre, aportando un correo electrónico donde comunicarle el resultado.” En desarrollo de esta última condición de comunicación de datos de resultados, no consta que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/27 se informara por ninguna de las dos partes, Ayuntamiento o LG a la reclamante, y esta, expresamente manifestó que no fue informada de tal comunicación en los resultados de la analítica, argumentando el Laboratorio que el día de la toma de muestras se dice al personal que está “reunido en una sala, que los resultados se remitirán al Concejal de turno y al interesado, no mostrando ninguno su oposición verbal o escrita a realizar la prueba y a que se comunicasen los resultados”. TERCERO: La reclamante manifiesta en su reclamación que recibe los resultados de la analítica en su correo electrónico con copia a su jefa, Concejala y lo primero que hizo fue pedir explicaciones a “su empresa”, manifestando que nadie la había informado de eso. Después, manifiesta que se dirigió al Laboratorio por e mail preguntando por los hechos, indicando en copia de e mail que aporta, de 16/04/2020 “usted no tiene mi consentimiento para dar este dato personalísimo a nadie más que a mi”. De la lectura de la reclamación, no consta acreditado que la reclamante diera positivo a COVID 19 en la prueba, no lo manifiesta, y de lo manifestado por el Ayuntamiento de ***AYUNTAMIENTO.1 en pruebas también se deduce así, indicando que no hubo ningún positivo. CUARTO: No se acredita ni se deriva del “presupuesto”, ni de las manifestaciones de las partes, que LG tuviera el correo electrónico de la reclamante, para remitirle los resultados de las pruebas, pero si un correo del Ayuntamiento de ***AYUNTAMIENTO.1 dispuesto a tal efecto. De las manifestaciones de este y de LG (manifestó en pruebas que con los resultados, sea positivo o negativo, se informa mediante correo electrónico al responsable del Ayuntamiento), se desprende que la reclamante llega a conocer su analítica mediante el envío por e mail que le hace el Ayuntamiento el día 15/04/2020 por la tarde, si bien la reclamante le manifiesta al Laboratorio que “me ha mandado a mi y a mi jefa el resultado de las pruebas”, no se descarta, porque el Ayuntamiento en sus alegaciones manifiesta que le trasladó al Laboratorio: “ nombres de trabajadores que se iban a realizar la prueba, DNI , y correo electrónico de contacto, tras solicitarles previamente los datos. Como correo electrónico del responsable, se incluyó el de la Concejala Delegada del área “. QUINTO: La reclamante realiza una queja al Laboratorio, entidad dedicada a prestación de servicios sanitarios en la rama de realización de análisis clínicos, respondiendo este:”la persona contratante del servicio debe tener constancia del resultado, por si hay algún caso positivo tomar las medidas pertinentes, por si se diera el caso que el trabajador es un inconsciente y estando el periodo de contagiar a la gente sigue acudiendo al puesto de trabajo. Por este motivo, este tipo de analíticas se remiten al responsable del servicio.” , si bien en este supuesto el resultado fue negativo, procedió a trasladar al Ayuntamiento el resultado de la analítica de la reclamada. SEXTO: El Ayuntamiento de ***AYUNTAMIENTO.1 se refiere a la Concejalía de Servicios Sociales como la responsable del servicio del personal a la que se le efectuó la analítica. En pruebas aportó copia de “EVALUACIÓN DE RIESGO DE EXPOSICIÓN A CORONAVIRUS” efectuado por el Servicio de prevención de riesgos laborales con el que tiene cubiertos los riesgos laborales, edición inicial 25/03/2020, área, o departamento de “Bienestar Social”, referido entre otro al personal relacionado al que se le sometió la prueba analítica. Además de no contemplar un tipo de análisis preventivos sin síntomas, en ninguno de sus apartados se contempla que en caso de darse algún positivo en un empleado, caso que no ha sido el objeto de la reclamación, sino que fue negativo, se haya de comunicar el resultado completo de la analítica a la empresa, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/27 o a un Concejal responsable del área de actividad en que se encuadre. Si señala, que la evaluación prevé la participación de los servicios de prevención como servicio de contacto en caso de positivos que valora y efectúa los seguimientos de las cuarentenas. SÉPTIMO LG manifestó en pruebas que a las personas a las que les efectúa los análisis les informa verbalmente de las pruebas a realizar y de la finalidad de las mismas, añadiendo que se suponía que el consentimiento informado con el paciente lo realizaría el Ayuntamiento de ***AYUNTAMIENTO.1. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 4.15 del RGPD define los datos de salud como “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud”. El artículo 4.11 del RGPD indica: “consentimiento del interesado”: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;” El Reglamento establece un concepto muy amplio de los datos de salud, y le otorga un régimen específico, el correspondiente a las denominadas “categorías especiales de datos” a que se refiere el artículo 9 del texto normativo. Se denominan de esa manera porque su tratamiento implica situaciones en las que surge un riesgo grave de protección de datos, desde las consecuencias de que su uso indebido puede tener para las personas, y se consideran tan perjudiciales que su tratamiento está prohibido a menos que se aplique una excepción. Las normas de protección de datos (como el RGPD) no entorpecen las medidas adoptadas para luchar contra la pandemia de COVID-19. El RGPD es un acto legislativo de gran alcance e incluye distintas disposiciones que permiten gestionar el tratamiento de datos personales con diversos fines relacionados con la pandemia de COVID-19, sin menoscabo de los derechos fundamentales a la privacidad y a la protección de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/27 En este caso se trata de la salud de los empleados del Ayuntamiento de ***AYUNTAMIENTO.1, personas que prestaban sus servicios en ayuda domiciliaria que podían estar en contacto con el virus y voluntariamente acuden a realizarse la analítica de sangre ofrecida gratuitamente por el Ayuntamiento a los empleados, a través de una empresa privada de análisis clínicos. Los tratamientos de datos personales en situaciones de emergencia sanitaria, lo siguen siendo, de conformidad con la normativa de protección de datos personales (RGPD y LOPDGDD), por lo que se aplican todos sus principios, contenidos en el artículo 5 del RGPD, y entre ellos el de tratamiento de los datos personales con licitud, lealtad y transparencia, de limitación de la finalidad (en este caso, detectar un posible contagio para que no acuda al trabajo, y facilitar el rastreo y seguimiento de contactos de casos positivos, probables o posibles de COVID-19), principio de limitación del plazo de conservación, y por supuesto, y hay que hacer especial hincapié en ello, el principio de minimización de datos. Sobre este último aspecto hay que hacer referencia expresa a que los datos tratados habrán de ser exclusivamente los limitados a los necesarios para la finalidad pretendida, sin que se pueda extender dicho tratamiento a cualesquiera otros datos personales no estrictamente necesarios para dicha finalidad, sin que pueda confundirse conveniencia con necesidad, porque el derecho fundamental a la protección de datos sigue aplicándose con normalidad, sin perjuicio de que, como se ha dicho, la propia normativa de protección de datos personales establece que en situaciones de emergencia, para la protección de intereses esenciales de salud pública y/o vitales de las personas físicas, si fuera el caso, podrán tratarse los datos de salud necesarios para evitar la propagación de la enfermedad que ha causado la emergencia sanitaria. El tratamiento lícito de datos personales ha de tener una base jurídica que se encuadre en alguno de los supuestos previstos en el artículo 6.1 del RGPD. La propia normativa de protección de datos personales, el RGPD contiene las salvaguardas y reglas necesarias para permitir legítimamente los tratamientos de datos personales en situaciones, como la presente, en que existe una emergencia sanitaria de alcance general. Al aplicarse dichos preceptos previstos para estos casos en el RGPD, en consonancia con la normativa sectorial aplicable en el ámbito de la salud pública, las consideraciones relacionadas con la protección de datos -dentro de los límites previstos por las leyes- no deberían utilizarse para obstaculizar o limitar la efectividad de las medidas que adopten las autoridades, especialmente las sanitarias, en la lucha contra la epidemia, por cuanto ya la normativa de protección de datos personales contiene una regulación para dichos casos que compatibiliza y pondera los intereses y derechos en liza para el bien común. En principio, los datos personales únicamente deben tratarse sobre la base del interés vital de otra persona física cuando el tratamiento no pueda basarse manifiestamente en una base jurídica diferente.(considerando 46). “Como base jurídica para un tratamiento lícito de datos personales, sin perjuicio de que puedan existir otras bases, -como por ejemplo el cumplimiento de una obligación legal, art. 6.1.
24. c)RGPD (para el empleador en la prevención de riesgos laborales de sus empleados)-, el RGPD reconoce explícitamente las dos citadas: misión realizada en interés público (art. 6.1.
25. e)o intereses vitales del interesado u otras personas físicas (art. 6.1.d).” Sin embargo, para el tratamiento de datos de salud no basta con que exista una base jurídica del art. 6 RGPD, sino que de acuerdo con el art. 9.1 y 9.2 RGPD exista una circunstancia que levante la prohibición de tratamiento de dicha categoría especial de datos (entre ellos, datos de salud). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/27 Así, el artículo 9 del RGPD, tras establecer en su apartado 1 una prohibición general para el tratamiento de estos datos, contempla, su apartado 2, una serie de excepciones en las que el tratamiento de los datos es posible, iniciando con el consentimiento explicito y siguiendo, cuando concurra una de las circunstancias que enumera, (se reproducen solo las que tienen relación con el caso de control de la vigilancia de la salud o diagnóstico médico). “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.” 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes: “
26. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado; […]”
27. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento; […]”
28. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
29. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
30. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional” […]” 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/27 Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes.” Por su parte la LOPDGGD, en su artículo 9 indica: “1. A los efectos del artículo 9.2.
31. a)del Reglamento (UE) 2016/679 , a fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico. Lo dispuesto en el párrafo anterior no impedirá el tratamiento de dichos datos al amparo de los restantes supuestos contemplados en el artículo 9.2 del Reglamento (UE) 2016/679, cuando así proceda. 2. Los tratamientos de datos contemplados en las letras g),
32. h)e
33. i)del artículo 9.2 del Reglamento (UE) 2016/679 fundados en el Derecho español deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad. En particular, dicha norma podrá amparar el tratamiento de datos en el ámbito de la salud cuando así lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social, pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte.” Además, dedica su disposición adicional decimoséptima a los tratamientos de datos de salud, en los siguientes términos: “Disposición adicional decimoséptima. Tratamientos de datos de salud. 1. Se encuentran amparados en las letras g), h),
34. i)y
35. j)del artículo 9.2 del Reglamento (UE) 2016/679 los tratamientos de datos relacionados con la salud y de datos genéticos que estén regulados en las siguientes leyes y sus disposiciones de desarrollo: […]”
36. a)La Ley 14/1986, de 25 de abril, General de Sanidad.
37. b)La Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales.
38. c)La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.
39. d)La Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud.
40. e)La Ley 44/2003, de 21 de noviembre, de ordenación de las profesiones sanitarias. […]”
41. g)La Ley 33/2011, de 4 de octubre, General de Salud Pública. “ Es decir, el RGPD y la LOPDGDD legitiman el tratamiento de datos de salud, si no existiera consentimiento explicito del interesado, sí concurre algunos de los supuestos mencionados, añadiéndose, que además, como cualquier tratamiento, ha de ajustarse a una base jurídica legitimadora y cumplir los principios generales establecidos en el artículo 5 del citado RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/27 En respuesta a que la “base legal para el tratamiento ha cambiado debido a la situación de alarma por la epidemia del COVID-19, ya no es el consentimiento expreso de la empleada sino que se legitima a la empleadora (Ayuntamiento de ***AYUNTAMIENTO.1) a realizar las pruebas y analíticas para detectar el COVID-19 a sus trabajadores y además a conocer los resultados de las pruebas.”, se debe diferenciar el tratamiento consistente en la realización de la prueba, someterse a un análisis clínico, y la comunicación de los resultados, en atención a que estos resultados constituyen como resultado, parte de la historia clínica de la reclamante, a los que resulta de aplicación las garantías establecidas en su gestión y custodia. El informe del Gabinete Jurídico 17/2020, indica de las variadas posibilidades que en momentos de pandemia existen para el tratamiento de datos de salud, explicando algunos requisitos y diferencias de unas frente a otras. Por poder guardar relación con el objeto de los análisis y el colectivo, en el mismo se indica: “La normativa de protección de datos personales, en tanto que dirigida a salvaguardar un derecho fundamental, se aplica en su integridad a la situación actual, dado que no existe razón alguna que determine la suspensión de derechos fundamentales, ni dicha medida ha sido adoptada” “En este caso destaca que aunque la base legitimadora podría estar habilitada por la letra b, como cumplimiento de obligaciones en el ámbito del derecho laboral, al estar sujeto el empleador a la normativa de prevención de riesgos laborales, de cuyo articulo 14 se desprende un deber del empresario de protección de los trabajadores frente a los riesgos laborales, en esta ocasión no se puede decir que concurra esta causa, toda vez que no se llevó a cabo con los cauces que dicha norma prevé. El art. 29 de la Ley 31/1995, de 8/11, de prevención de Riesgos Laborales, relativa a la aplicación de medidas para promover la mejora de la seguridad y de la salud de los trabajadores en el trabajo, establece también obligaciones de los trabajadores en materia de prevención de riesgos. Así, corresponde a cada trabajador velar, según sus posibilidades y mediante el cumplimiento de las medidas de prevención que en cada caso sean adoptadas, por su propia seguridad y salud en el trabajo y por la de aquellas otras personas a las que pueda afectar su actividad profesional, a causa de sus actos y omisiones en el trabajo, de conformidad con su formación y las instrucciones del empresario. Ello se concreta en que deberán de informar de inmediato a su superior jerárquico directo, y a los trabajadores designados para realizar actividades de protección y de prevención o, en su caso, al servicio de prevención, acerca de cualquier situación que, a su juicio, entrañe, por motivos razonables, un riesgo para la seguridad y la salud de los trabajadores; contribuir al cumplimiento de las obligaciones establecidas por la autoridad competente con el fin de proteger la seguridad y la salud de los trabajadores en el trabajo y cooperar con el empresario para que éste pueda garantizar unas condiciones de trabajo que sean seguras y no entrañen riesgos para la seguridad y la salud de los trabajadores. En el ámbito de la situación actual derivada del covid19 ello supone que el trabajador deberá informar a su empleador en caso de sospecha de contacto con el virus, a fin de salvaguardar, además de su propia salud, la de los demás trabajadores del centro de trabajo, para que se puedan adoptar las medidas oportunas. El empleador deberá tratar dichos datos conforme al RGPD, debiendo adoptarse las medidas oportunas de seguridad y responsabilidad proactiva que demanda el tratamiento” Es distinto que el empleado comunique al empresario, caso de sospecha, sus síntomas, a que un Laboratorio comunique al empleador el resultado integro de una analítica que tiene como finalidad detectar el virus, en la que no existe infección, considerando la necesidad y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/27 proporcionalidad del tratamiento en que la finalidad y propósito de la detección no ampara mas que el comunicado de la sospecha, no el análisis integro de la analítica llevado a cabo. III La Orden SND/344/2020, de 13/04, por la que se establecen medidas excepcionales para el refuerzo del Sistema Nacional de Salud y la contención de la crisis sanitaria ocasionada por el COVID-19 que entra en vigor el 14/04/2020 BOE 14/04/ 2020, que desarrolla el Real Decreto 463/2020 de 14/03, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por la COVID-19, determina que para el ejercicio de las funciones previstas en el mismo bajo la superior dirección del presidente del Gobierno, el Ministro de Sanidad tendrá la condición de autoridad competente delegada y está facultado para dictar órdenes, resoluciones y disposiciones e instrucciones interpretativas necesarias para garantizar la prestación de todos los servicios en orden a la protección de personas y bienes y lugares mediante la adopción de cualquiera de las medidas previstas en el artículo 11 de la Ley Orgánica 4/1981 de 1/06 de los Estados de alarma, excepción y sitio. Su apartado TERCERO establece la obligación, a los centros privados de diagnóstico, de notificar a la autoridad sanitaria competente de la Comunidad Autónoma en la que se encuentren ubicados y/o presten sus servicios, los casos de COVID-19 confirmados de los que hayan tenido conocimiento tras la realización de las correspondientes pruebas diagnósticas. Asimismo, ya existe la misma obligación para los centros hospitalarios privados a través del Decreto 312/996, de 24/12. Por otro lado, la Ley 33/2011, General de Salud Pública, permite a las Autoridades Sanitarias recabar información sin el consentimiento de los interesados por razones epidemiológicas y salud pública. También dispone la obligación de los centros privados a remitir dicha información a la autoridad sanitaria competente. Su apartado segundo indica que “ la indicación para la realización de las pruebas diagnósticas para la detección del COVID-19 deberá ser prescrita por un facultativo de acuerdo con las directrices instrucciones y criterios acordados al efecto por la autoridad sanitaria competente” En la Comunitat Valenciana, esta Orden Ministerial se desarrolla por la resolución de 16/04/2020 de la Conselleria de Sanidad Universal y Salud Pública, por la que se da cumplimiento a la orden SNED 344/2020, de 13/04, con entrará en vigor 17/04/2020 . En esta resolución se reitera en el artículo quinto que todos los centros servicios y establecimientos sanitarios de diagnóstico clínico con independencia de su titularidad que se encuentren ubicados o presten sus servicios en la Comunidad Valenciana que realizan las pruebas de diagnósticos fuera del ámbito del sistema público de salud deberán: A) Contar con la prescripción por facultativo de acuerdo con las directrices e instrucciones y criterios que establezca la autoridad sanitaria. B) Garantizar los medios necesarios para completar el proceso diagnóstico de infección activa por COVID-19 según los protocolos vigentes y garantizar la realización de las pruebas complementarias necesarias. C) Notificar una vez completado todo el proceso diagnóstico los casos diagnosticados a la Dirección General de la Salud Pública y Adicciones, mediante correo electrónico El Ministerio de Sanidad dictó una serie de instrucciones, que figuran en su pagina web “DocuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/27 mentos técnicos para profesionales”, dirección https://www.sanidad.gob.es/profesionales/saludPublica/ccayes/alertasActual/nCov/documentos.htm, que se han ido actualizando en distintas versiones. Relacionadas con el asunto, destacan: -“Procedimiento de actuación frente a casos de infección por el nuevo coronavirus (SARS-CoV2)”: Además de indicar las situaciones en que se debe realizar la detección de infección en personas con “cuadro clínico” “de infección respiratoria” Indica que la participación de los servicios de prevención frente a la exposición al SARS COv-2 en el ámbito de las empresa es crucial, adaptando su actividad con recomendaciones actualizadas y de cumplimento de medidas de prevención: de carácter organizativo, de protección personal, de trabajador especialmente vulnerable y nivel de riesgo, estudio y manejo de contactos ocurridos en la empresa y de colaboración en la gestión de la incapacidad temporal, “tal como se explica en el Procedimiento para los servicios de prevención de riesgos laborales frente a la exposición” También alude a la situaciones en las que se deben realizar detección de infección, en situaciones de personas con cuadros clínicos de infección respiratoria, y refiere la guía para la utilización de test rápidos de anticuerpos para COVID 19, en la que especifica que en general , “las pruebas diagnosticas, solo se realizaran en pacientes sintomáticos, moderados o graves en el ámbito hospitalario o leves en el ámbito extrahospitalario “Además, se indica que los test serológicos el uso “en el ámbito extrahospitalario , solo se prioriza en residencias de personas mayores y centros sociosanitarios y su uso está indicado en pacientes sintomáticos, si han transcurrido varios días desde el inicio de síntomas.” En cuanto a los casos COVID 19 confirmados, se prescribe que son los centros, servicios y establecimientos sanitarios de diagnostico clínico, con independencia de su titularidad, los que deberán notificar a la autoridad sanitaria competente de la CCAA los casos COVID confirmados de los que hayan tenido conocimiento. Es decir, no le corresponde recibir a la empresa o en este caso empleador, Ayuntamiento de ***AYUNTAMIENTO.1 los resultados completos de analíticas, en este caso negativos. -Instrucciones sobre la realización de pruebas diagnósticas para la detección del COVID-19 en el ámbito de las empresas -Método de actuación para los servicios de prevención de riesgos laborales (SPRL) frente a la exposición al SARS COV-2. Primera revisión 28/02/2020 Los SPRL “están llamados a cooperar con las autoridades sanitarias en la detección precoz de todos los casos compatibles con COVID-19 y sus contactos, y en la reincorporación de las personas vacunadas. …Corresponde a las empresas evaluar el riesgo de exposición en que se pueden encontrar las personas trabajadoras en cada una de la tareas diferenciadas que realizan y seguir las recomendaciones que sobre el particular emita el servicio de prevención, siguiendo las pautas y recomendaciones formuladas por las autoridades sanitarias.” Cualquier toma de decisión sobre las medidas preventivas a adoptar en cada empresa deberá basarse en información recabada mediante la evaluación específica del riesgo de exposición, que se realizará siempre en consonancia con la información aportada por las autoridades sanitarias. En este proceso, se consultará a los trabajadores y se considerarán sus propuestas. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/27 función de la naturaleza de las actividades y los mecanismos de transmisión del coronavirus SARSCoV-2, podemos establecer los diferentes escenarios de exposición en los que se pueden encontrar los trabajadores, que se presentan en la Tabla 1…” Las empresas, a través de los servicios de prevención, están llamadas a colaborar con las autoridades sanitarias en la detección precoz de todos los casos compatibles con COVID-19 y sus contactos, para controlar la transmisión. La participación del personal sanitario de los servicios de prevención en la Red Nacional de Vigilancia Epidemiológica con la recogida de información y la notificación de los casos COVID-19 es una obligación, pero también una acción fundamental en el control y seguimiento de los casos y de los contactos en el entorno laboral. Los profe sionales del servicio sanitario del SPRL serán los encargados de establecer los mecanismos para la detección, investigación y seguimiento de los casos y contactos estrechos en el ámbito de sus competencias, de forma coordinada con las autoridades de salud pública. Las Comunidades y las Ciudades Autónomas establecerán los procedimientos y circuitos a seguir en cada caso. Que se someta la reclamante voluntariamente a la prueba no significa que el Ayuntamiento no tenga obligaciones en el cumplimiento de la normativa de protección de datos, y que la reclamante no goce de unas garantías que se contemplan en dicha normativa IV El RGPD define en su artículo 4: “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” El Ayuntamiento de ***AYUNTAMIENTO.1 contrata y en este caso acepta los términos que LG le expuso, para la realización de unos análisis de detección de antígenos con la finalidad de protección de los empleados, conocedor de que LG le solicita un e mail de contacto para recibir los resultados de los análisis, no solo no manifestó nada en el proceso de contrata, sino que le proporcionó el e mail, recibe los resultados y se los entrega a la reclamante, con copia a la Concejala de Servicios Sociales. Así pues se observan dos procesos, uno la realización de la prueba y su finalidad, dos, a posteriori, se prevé un email que da el Ayuntamiento al Laboratorio para recibir los resultados. Se observa que aunque el que financia la prueba es el Ayuntamiento, el titular de los datos no es informado ni consiente del traslado de resultados de la analítica, porque no le ha sido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/27 ofrecida ni información ni opción alguna sobre esa segunda operación que articulan el Ayuntamiento y el Laboratorio sobre los resultados de la prueba. Dentro de la legitimación para dicha comunicación de datos de salud, lo que se obtiene como resultado es la quiebra de la confidencialidad de los resultados del análisis de su titular, sobre la base de la concertación de las partes, por cuanto se trata del resultado integro del análisis, no es ya la mención de que sea positivo, que no lo era, es que además, no se acredita que para ello hubiera consentimiento, de la forma como exige el RGPD para este tipo de datos, “explicito” dentro de lo que ha de ser tal consentimiento, inequívoco, informado y especifico. No existiendo ese consentimiento, no hay habilitación para el traslado de los resultados al empleador, ni para el reparto que del resultado se hace a la Concejalía. No obstante, los resultados de un análisis de sangre completos, aunque no se padezca el coronavirus, también son datos de salud, por lo que no solo su recogida, sino que en general, su tratamiento se halla sujeto a los artículos ya reseñados. El Ayuntamiento ha tratado los datos de salud -analítica completa de la prueba vulnerando el tratamiento de datos de salud vinculados a la analítica practicada, hallándose incluido en el artículo 9.2.a del RGPD que determina: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
42. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;” Se acredita que ha tratado datos de salud en sus sistemas, la analítica completa practicada, incorporándolos de LG y los comunica a la persona de la que depende la reclamada. Ello, sin que concurra el consentimiento explicito necesario para que el Ayuntamiento en esta operación distinta a la practica de la prueba de la analítica obtenga los resultados, recordando que el mismo validó en el contrato esta cuestión, sin que haya exención que se pueda incluir en algunos de enumerados en el citado artículo 9.2 del RGPD para esos fines. En cuanto a las alegaciones a la propuesta, no se declara la infracción del artículo 9.2
43. a)del RGPD por haber implantado la opción de hacer las pruebas a los empleados que de forma voluntaria se las hicieron, sino por instrumentar la opción posibilitadora, como así se acredita, de la cesión de los datos de salud de la reclamante al propio Ayuntamiento, y este o dentro de este, a la superior jerárquica de la reclamante. No se trataba de una mera comunicación en sentido afirmativo o negativo, sino del informe de la analítica completa. Datos que son considerados de salud, sobre los que debe prevalecer además por naturaleza, el deber de secreto de su conocimiento, conforme determina entre otras leyes, la Ley 41/2002 de 14/11, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, y que claramente pertenecen a la privacidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/27 del individuo titular de los mismos. El Ayuntamiento no solo contrató con LG la realización de las pruebas sobre los empleados que voluntariamente aceptaban someterse a la misma, sino que acepta la clausula del Laboratorio, no la discute, autorizando que se le envíen a el los resultados, para conocer la superior jerárquica, y con la supuesta finalidad añade en las alegaciones de preparar y organizar la toma de medidas. Al respecto se ha de indicar que ese conocimiento no va ligado a la practica de la prueba, y no se antoja necesario mas que saber si acaso los casos positivos, pero es que además, ni resulta idóneo dar a conocer todos los resultados de todos los análisis ni estos completos, para dicha finalidad, ni proporcional ni necesario. Las alegaciones formuladas no permiten reconsiderar la declaración de la comisión de la infracción imputada. V En el artículo 83.5
44. a)del RGPD se contiene: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
45. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” A efectos del cómputo de su prescripción, la LOPDGDD señala en su artículo 72: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: “
46. e)El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley orgánica.” VI Por otro lado, al Ayuntamiento de ***AYUNTAMIENTO.1 se le imputa la infracción de artículo 25.1 del RGPD que indica: “1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados.” Los indicios en el acuerdo de inicio para ello eran: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/27 -Enumera diversas bases legitimadoras en el tratamiento llevado a cabo. La explicación de las bases de legitimación de los tratamientos debe estar claras en cada supuesto, en el presente se ha aludido a algunas que no encajan en el esquema empleo y control de la salud. -Han solicitado información al Laboratorio acerca de los deberes de información, auditoría en materia de protección de datos, o documentación equivalente como evidencia de medidas técnicas y organizativas. - “Se están estudiando los consentimientos del Laboratorio externo contratado para comprobar el correcto cumplimiento en materia de protección de datos.” Considerando además, que los hechos han podido suceder en otras áreas del Ayuntamiento, y en este concreto caso a otras 24 personas que acudieron a practicarse la prueba. Evidencias todas ellas que contribuyen a considerar que en el diseño de la operación de tratamiento, la finalidad y su contenido, no se tuvieron en cuenta elementos imprescindibles organizativos y técnicos para, en consideración de los elementos que intervienen en el tratamiento y los riesgos para los derechos y libertades, se hubieran aplicado ya desde el inicio como por ejemplo la redacción de las clausulas contractuales, las garantías necesarias en el tratamiento para proteger los derechos de los interesados. Por otro lado, al abrir el acuerdo de inicio se aprecia que se incrementan estas deficiencias, que se dan tanto en el momento de determinar los medios del tratamiento como en el de llevar a cabo el tratamiento. Como muestra: - No aporta signo documental acreditativo de haber informado a la reclamante de la comunicación de los resultados del análisis ni de que se haría con los datos, caso de dar positivo o como le afectaría en el empleo, específicamente, quien haría el seguimiento de los contactos estrechos y legitimación para ello, pues no intervinieron los servicios de prevención. - No se tienen noticia de la participación o información a los representantes de personal. En pruebas, pedido argumentario o protocolo que se seguiría del resultado de las pruebas, solo respondió que todos dieron negativo. -No intervino el Delegado de Proteccion de datos, con una justificación alegada demasiado genérica, apreciándose que es un caso que afecta a datos de carácter personal. -Acepta una condición en el tratamiento de LG que supone por defecto que los datos sean conocidos por el contratante del servicio, el propio Ayuntamiento, al indicarse: “Los trabajadores deben de saber que este laboratorio enviara una copia de dicha analítica a la dirección de la empresa, para que ésta tenga constancia del estado de salud de sus trabajadores en relación a una posible infección por COVID 19. Si algún trabajador no está de acuerdo en que dichos resultados se comuniquen a la empresa, lo debe de manifestar en el momento de la extracción de sangre, aportando un correo electrónico donde comunicarle el resultado.” -No tiene en cuenta el tratamiento de datos mínimos que fueran necesarios en consonancia con la finalidad que se pretende. Se quiere organizar y disponer las medidas por si hubiera algún positivo en la enfermedad. Los resultados negativos no han de identificar no ya a su titular C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/27 por no ser preciso, mucho menos con el envío completo de la analítica. Queda acreditado que el Ayuntamiento de ***AYUNTAMIENTO.1 ha incumplido las obligaciones del RGPD en el diseño de las operaciones de tratamiento, establecido en el artículo 25 del mismo, que impone esta obligación para todos los responsables del tratamiento de datos personales y que implica aplicación de medidas adecuadas y garantías necesarias para la aplicación efectiva de los principios de Protección de Datos y en consecuencia de los derechos y libertades de los interesados. Debe considerar también específicamente los principios del artículo 5 del RGPD en el contexto del tratamiento en cuestión. En este caso por ejemplo, merece consideración adicional el principio de adecuación y pertinencia en relación a los fines para los que son tratados ( 5.1.
47. c)del RGPD), dado que el dato negativo en el análisis puede conllevar un tratamiento distinto al que se ha producido a través del comunicado del resultado íntegro de la analítica de la prueba, consideración que no ha sido tenida en cuenta por el Ayuntamiento de ***AYUNTAMIENTO.1, y adicionalmente, la especificidad de los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas en atención a la confidencialidad de los datos médicos específicamente protegidos. Sobre la alegación de que la petición del resultado, el análisis completo enviado fue asunto del Laboratorio, se debe indicar que la finalidad del tratamiento de los datos no estaba correctamente configurada por varios motivos, organizativos, normativos y de integración de principios en el tratamiento de sus empleados en una prueba que aunque practicó un profesional, no implementó los elementos básicos que se señalan en el citado artículo. La infracción se contiene en el artículo 83.4 del RGPD que indica: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
48. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;” A efectos del cómputo de su prescripción, la LOPDGDD señala en su artículo 73: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
49. d)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para aplicar de forma efectiva los principios de protección de datos desde el diseño, así como la no integración de las garantías necesarias en el tratamiento, en los términos exigidos por el artículo 25 del Reglamento (UE) 2016/679.” VII El artículo 58.2 del RGPD dispone: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
50. a)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/27 manera y dentro de un plazo especificado;” La imposición de estos ajustes, es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. “
51. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” VIII El artículo 83.7 del RGPD añade: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El ordenamiento jurídico español ha optado por no sancionar con multa a las entidades públicas, tal como se indica en el artículo 77.1.
52. c)y 2. 4. 5. y 6. de la LOPDDGG: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: “
53. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.” “2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.” “4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/27 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: SANCIONAR con apercibimiento a AYUNTAMIENTO DE ***AYUNTAMIENTO.1 con CIF P0304700H, por la infracción del RGPD, artículos: - 9.2.
54. a)del RGPD, de conformidad con el 83.5.
55. a)del mismo, tipificada como muy grave en el artículo 72.1.
56. e)de la LOPDGDD. -25.1 del RGPD, de conformidad con el 83.4.
57. a)del mismo, tipificada como grave en el artículo 73.
58. d)de la LOPDGDD. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE ***AYUNTAMIENTO.1. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. CUARTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
59. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100322 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/27 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es