PS-00373-2021

1/28  Expediente Nº: PS/00373/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 6 de agosto de 2020, la directora de la AEPD, tiene constancia de que en fecha 29 de julio de 2020, se publica en el Boletín Oficial del Principado de Asturias, la “Resolución de 29 de julio de 2020, de la Consejería de Salud, de tercera modificación de las medidas urgentes de prevención, contención y coordinación necesarias para hacer frente a la crisis sanitaria ocasionada por el COVID-19" (en adelante, la Resolución de 29 de julio de 2020). Esta resolución incorpora en el apartado 3.4. del Anexo la obligación para determinados tipos de establecimientos de contar con un registro de clientes y usuarios a disposición de la Dirección General de Salud Pública, con la finalidad de "facilitar el rastreo y seguimiento de contactos de casos positivos o sospechosos de Covid-19". La propia resolución estipula que "la recogida de tales datos requerirá el consentimiento del interesado, sin perjuicio de condicionar el derecho de admisión por razones de salud pública en caso de no poder contar con el mismo". Asimismo, recomienda la adopción de sistemas de registro similares por parte de los titulares de los establecimientos de hostelería y restauración, discotecas y locales de ocio nocturno. Al objeto de aclarar este tratamiento, insta a la Subdirección General de Inspección de Datos (en adelante, SGID), a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 6 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo, LOPDGDD), por si de tales hechos se desprendieran indicios de infracción en el ámbito competencial de la AEPD. SEGUNDO: A la vista de estos hechos descritos, la SGID procede a la realización de actuaciones previas de investigación para su esclarecimiento, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de las actuaciones previas de investigación se practica un primer requerimiento de información dirigido a la CONSEJERÍA DE SALUD DEL GOBIERNO DEL PRINCIPADO DE ASTURIAS (en adelante, la investigada): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/28 En este requerimiento, de fecha 7 de agosto de 2020, se solicita la siguiente información: “1. Finalidad del tratamiento de datos personales y base jurídica en la que se sustenta. 2. Valoración de la proporcionalidad del tratamiento (juicio de idoneidad, de necesidad, y de proporcionalidad en sentido estricto). 3. Detalle de las categorías de datos personales objeto de tratamiento y valoración del cumplimiento con el principio de minimización de datos. 4. Determinación de las categorías de establecimientos obligados a la implantación de la medida y explicación del motivo de su elección frente a otros. 5. Descripción del proceso que permite la consecución de la finalidad prevista con indicación, para cada uno de los participantes en el mismo, de: 5.1. Vinculación con el tratamiento (responsable, corresponsable, encargado, tercero, interesado) de cada participante. Detalle del contrato o acto jurídico que vincula al encargado del tratamiento con el responsable del mismo, de acuerdo con lo estipulado en el artículo 28 del RGDP. 5.2. Descripción del tratamiento concreto que realiza (registro, consulta, comunicación, supresión, etc.) cada participante. Especificación, en su caso, del formato en que almacenará los datos personales (digital / papel). 5.3. Procedimiento de comunicación de los datos del registro de cada establecimiento a las autoridades sanitarias: detalle del canal de comunicación (postal, correo electrónico, telefónico, etc.) y de los eventos que provocan el envío (frecuencia concreta y/o a petición de las autoridades sanitarias). 5.4. Indicación de la posibilidad o no de que participen “subencargados” de tratamiento (entidades contratadas por los establecimientos para efectuar partes del tratamiento que se les asigna). 5.5. Plazos de conservación de los datos de cada participante y determinación de si, finalizada la prestación del servicio, los encargados deben suprimir o devolver los datos al responsable. Especificar, en su caso, la normativa que requiere a los encargados la conservación de los datos una vez finalizada la prestación. 5.6. Medios utilizados para el cumplimiento del deber de información al interesado. 5.7. Garantías aplicadas para el cumplimiento de las obligaciones impuestas en el Capítulo IV del RGPD en materia de medidas de seguridad.” El requerimiento se notifica a la investigada en fecha 9 de agosto de 2020, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, según certificado que figura en el expediente. TERCERO: En fecha 26 de agosto de 2020, la investigada aduce las alegaciones que estima convenientes y a las que se da respuesta en el informe emitido por la SGID, que se reproduce en el apartado Sexto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/28 CUARTO: En fecha 15 de abril de 2021, la AEPD practica un segundo requerimiento en los siguientes términos: “A este respecto, en el marco de las actuaciones practicadas por la Subdirección General de Inspección de Datos y en uso de las facultades conferidas por el artículo 58.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (en adelante RGPD), y el art. 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se solicita que en el plazo de diez días hábiles presente la siguiente información: 1. Descripción de la situación actual de las medidas relativas a la obligación de registro recogidas en dicha resolución. Referencia a la vigencia de estas y, en su caso, a la tipología de establecimientos afectados. 2. Detalle de cualquier otra circunstancia relacionada con el tratamiento de los datos personales objeto de registro cuya puesta en práctica haya diferido de lo especificado en el escrito***ESCRITO.1.” Asimismo, se informa de que el responsable y el encargado del tratamiento de los datos de carácter personal tienen la obligación de facilitar los documentos, informaciones y cualquier otra colaboración que se precisen para realizar la función de inspección. El requerimiento se notifica a la investigada en fecha 15 de abril de 2021, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, según certificado que figura en el expediente. QUINTO: En respuesta al segundo requerimiento, en fecha 22 de abril de 2021, la investigada aduce las alegaciones que estima convenientes y a las que se da respuesta en el informe emitido por la SGID, que se reproduce en el apartado siguiente. SEXTO: Con fecha 23 de abril de 2021, una vez realizadas las actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento, la SGID emite un informe en el que se constatan los siguientes hechos: “RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN El presente informe se apoya sobre la siguiente información: Escrito de la Consejería registrado de entrada en la AEPD (núm.***ESCRITO.1) con fecha de 26 de agosto de 2020 (en adelante EscritoConsejería1). Escrito de la Consejería registrado de entrada en la AEPD (núm. ***ESCRITO.2) con fecha de 22 de abril de 2021 (en adelante EscritoConsejería2). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/28 (…) Se consigna a continuación el siguiente contenido del Comunicado AEPD relacionado con el objeto de las presentes actuaciones: “[…] A este respecto, es necesario puntualizar que los datos que se recogen, aunque estén relacionados con el control de la pandemia y su tratamiento sea al objeto de poder identificar posibles infectados, no son datos catalogados en el RGPD como “categorías especiales”. Para poner en marcha el registro de clientes que acuden a locales de ocio, tratándose de una medida para la contención del coronavirus, debe acreditarse su necesidad por las autoridades sanitarias y tiene que ser obligatoria, ya que si fuera voluntaria perdería efectividad. Adicionalmente, si se acudiera a la base jurídica del consentimiento, para poder apreciar un consentimiento libre, sería necesario que no se derivara ninguna consecuencia negativa, es decir, que no se impidiera la entrada al establecimiento. Teniendo en cuenta que ya no está vigente el estado de alarma, la obligatoriedad de tomar datos por parte de los establecimientos tiene que establecerse por una norma con rango de ley. En tal caso, la base jurídica sería el 6.1.

1. c)(“el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”). En todo caso, debe señalarse que el hacer un seguimiento adecuado de la evolución de los contagios y de la obligación de tomar datos y cederlos a las autoridades sanitarias tiene su fundamento en la garantía de un interés público de controlar la pandemia, por lo que la base jurídica sería, con carácter preferente, el artículo 6.1.
2. e)del RGPD (“el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento”). A estos efectos, debe hacerse especial incidencia en la necesidad de justificar que no existan otras medidas más moderadas para la consecución del propósito perseguido con igual eficacia. Por ello deberían identificarse bien y limitarse a aquellos sitios en los que exista una mayor dificultad para el cumplimiento de estas medidas (no es lo mismo una discoteca, en la que las personas quieren estar cerca, que un museo, en el que se pueden habilitar espacios adecuados para que circule la gente y limitar mucho los contactos). A tal efecto, deberían ser las autoridades sanitarias quienes valoren motivadamente en qué lugares sería obligatorio identificarse. Por otro lado, la recogida y la cesión de datos debería organizarse de una forma que el registro permita identificar los posibles contactos (es decir, que exista una probabilidad de que hayan coincidido, al estar en la misma hora, en el mismo sitio, etcétera). En otro caso, como podría suceder en un museo, si hay un infectado y se avisa a las miles de personas que ese día lo pudieron haber visitado, aparte de ser un tratamiento excesivo, podrían producirse dificultades o incluso un colapso en la asistencia sanitaria. Cuestión que también tienen que valorar las autoridades sanitarias de las Comunidades Autónomas. Adicionalmente, debe cumplirse con el principio de minimización, en virtud del cual podría ser suficiente con obtener un número de teléfono, junto con los datos del día y la hora de asistencia al lugar. Este criterio, junto con el de la anonimización de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/28 titulares del dispositivo, ha sido el asumido por el Comité Europeo de Protección de Datos en la Recomendación sobre el uso de datos de localización y aplicaciones de seguimiento de contactos en el contexto de la pandemia; criterio que puede extrapolarse a esta situación con las adaptaciones pertinentes. En consecuencia, no sería necesario solicitar el nombre y los apellidos, que serían innecesarios para la finalidad de avisar a los posibles contactos, y en ningún caso es necesaria la identificación mediante el DNI por ser desproporcionada. Asimismo, debe aplicarse estrictamente el principio de limitación de la finalidad, de forma que los datos sólo deben poder utilizarse para la finalidad de lucha contra el virus, excluyendo cualquier otra, así como el principio de limitación del plazo de conservación. De acuerdo con estos criterios, los establecimientos serían responsables de la recogida de datos en virtud de una obligación legal establecida por una norma con rango de ley y la administración autonómica sería la cesionaria de esos datos por razones de interés público previstos en la ley. La administración autonómica deberá establecer criterios sobre la forma en la que se recogen y comunican esos datos personales a la Administración sanitaria. Por su parte, los ciudadanos deben recibir una información clara, sencilla y accesible sobre el tratamiento antes de la recogida de los datos personales. En todo caso, la información debe tratarse con las medidas de seguridad adecuadas.” Con respecto a las medidas relacionadas con el registro de los clientes de determinados establecimientos tomadas por la Consejería, se recoge a continuación información sobre los distintos aspectos: 1. Sobre la finalidad de los tratamientos de datos personales. En relación con la finalidad, el EscritoConsejería1 manifiesta que “La obligación de registrar los datos y el teléfono de contacto de los clientes y usuarios que acudan a hoteles, albergues y otros alojamientos turísticos, peluquerías, barberías, centros de belleza, gabinetes de estética, salones de manicura, pedicura y depilación, saunas, balnearios, spas y gimnasios, tiene como única finalidad facilitar el rastreo y seguimiento de contactos de casos positivos o sospechosos de Covid-19.”. Además, señala igualmente que “[…] el registro de datos y teléfono de contacto se encontrará exclusivamente a disposición de la Dirección General de Salud Pública y tendrá como única finalidad facilitar el rastreo y seguimiento de contactos de casos positivos o sospechosos de Covid-19”. 2. Sobre las categorías de datos personales objeto de tratamiento. A este respecto el EscritoConsejería1 señala que los datos personales que se tratarán para esta finalidad son “Nombre y/o apellidos y número de teléfono de contacto”. Añade además que “los datos que se citan son los estrictamente necesarios para la finalidad pretendida, además de ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Disponer de un nombre o de un apellido y un número de teléfono son datos mínimos que servirán para disponer de forma inmediata de datos de contactos de las personas para poder afrontar rápidamente el seguimiento de los casos e interrumpir las cadenas de transmisión que puedan originarse en ciertos establecimientos.” 3. Sobre el alcance de las medidas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/28 En el EscritoConsejería1 se aporta el siguiente listado de establecimientos afectados por esta medida: “Obligatorio: titulares de hoteles, albergues y otros alojamientos turísticos, peluquerías, barberías, centros de belleza, gabinetes de estética, salones de manicura, pedicura y depilación, saunas, balnearios, spas y gimnasios. Justificación: Todos estos establecimientos funcionan con un sistema de cita previa donde ya consta el nombre y teléfono. Disponer de estos no presenta dificultades para los titulares de los mismos, y sin embargo, en estos momentos de crisis sanitaria ocasionada por la COVID-19 proporciona una información muy útil y valiosa para controlar la expansión del virus. Recomendación: titulares de los establecimientos de hostelería y restauración, discotecas y locales de ocio nocturno Justificación: En este caso es una recomendación porque estos establecimientos no disponen de un sistema de cita previa y resultaría desproporcionado exigirlo. Sin embargo, con la finalidad de buscar la proporcionalidad de la medida, con bien es sabido, en estos locales circula un número muy elevado de personas cuyo registro, de existir favorecería enormemente la identificación de las personas a los efectos de poder realizar la adecuada investigación epidemiológica y prevenir de forma eficaz la protección de la salud de la población.” En relación con la evolución de esta medida, la Consejería, como parte del EscritoConsejería2, manifiesta lo siguiente: “Por Resolución de 29 de julio de 2020, de la Consejería de Salud, se efectúa la tercera modificación de las medidas urgentes de prevención, contención y coordinación necesarias para hacer frente a la crisis sanitaria ocasionada por el COVID-19, donde se recogía como medida en materia de salud pública, todo ello con la finalidad de facilitar el rastreo y seguimiento de contactos de casos positivos o sospechosos de Covid-19, la obligación de registrar los datos y el teléfono de contacto de los clientes y usuarios que accedan a hoteles, albergues y otros alojamientos turísticos, peluquerías, barberías, centros de belleza, gabinetes de estética, salones de manicura, pedicura y depilación, saunas, balnearios, spas y gimnasios. Se recoge también una recomendación en el mismo sentido para los establecimientos de hostelería y restauración, discotecas y locales de ocio nocturno. Dentro del contenido de la parte dispositiva de la citada resolución se señala en el apartado tercero relativo al seguimiento y aplicación de la medida que el cumplimiento de las medidas previstas en esta resolución será objeto de seguimiento y evaluación continua con el fin de garantizar su adecuación a la evolución de la situación epidemiológica y sanitaria. A estos efectos, podrán ser objeto de modificación o supresión mediante Resolución de la Consejería competente en materia de sanidad. Por su parte, el apartado sexto recoge la vigencia de la medida, señalando que la presente resolución producirá efectos desde su publicación en el Boletín Oficial del Principado de Asturias y mantendrá su vigencia hasta que el Gobierno declare la finalización de la situación de crisis sanitaria ocasionada por el COVID-19, al amparo del artículo 2.3 del Real Decreto-ley 21/2020, de 9 de junio, (hoy Ley 2/2021, de 29 de marzo, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID-19). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/28 En consecuencia, procede informar que la medida sigue vigente en las mismas condiciones que las establecidas inicialmente, sin que haya sido objeto de modificación alguna. Por otro lado, la medida mantiene su vigencia hasta que el Gobierno declare la finalización de la crisis sanitaria. Ahora bien, nada impedirá que cuando desaparezca la situación epidemiológica que originó la necesidad de su adopción (pudiendo ser previa a la finalización de la declaración de crisis sanitaria), la misma se deje sin efecto para garantizar en todo momento la idoneidad [sic], necesidad y proporcionalidad que presiden la adopción de estas medidas especiales.” 4. Sobre la base jurídica del tratamiento de datos personales. En relación con la base jurídica de los tratamientos de datos personales derivados de la imposición de la medida, el EscritoConsejería1 refiere que: “La base de legitimación se ha entendido que viene determinada por el artículo 9.2.
3. i)del Reglamento (UE) 2016/6753 (el tratamiento es necesario por razones de interés público en el ámbito de la salud pública), con apoyo legal interno en la Ley Orgánica 3/1986, de 14 de abril, de Medidas Especiales en Materia de Salud Pública, y más específicamente en su artículo 3 cuando dispone que "Con el fin de controlar las enfermedades transmisibles, la autoridad sanitaria, además de realizar las acciones preventivas generales, podrá adoptar las medidas oportunas para el control de los enfermos, de las personas que estén o hayan estado en contacto con los mismos y del medio ambiente inmediato, así como las que se consideren necesarias en caso de riesgo de carácter transmisible". Si bien ciertamente los datos que se recogen no son, en sí mismos, datos especialmente protegidos como pertenecientes a categorías especiales de datos, tanto la finalidad de su recogida como su única cesión prevista, determinan un exclusivo uso de carácter sanitario. Así, se señala que el registro de datos y teléfono de contacto se encontrará exclusivamente a disposición de la Dirección General de Salud Pública y tendrá como única finalidad facilitar el rastreo y seguimiento de contactos de casos positivos o sospechosos de Covid-19. En este sentido, debemos señalar que el considerando 46 del Reglamento 2016/679 establece que el tratamiento de datos personales también debe considerarse lícito cuando sea necesario para proteger un interés esencial para la vida del interesado o la de otra persona física. En principio, los datos personales únicamente deben tratarse sobre la base del interés vital de otra persona física cuando el tratamiento no puede basarse manifiestamente en una base jurídica diferente. Ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado, como por ejemplo cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano. Por otro lado, es preciso señalar que el Decreto-Ley se encuentra regulado en el Artículo 86 de la Constitución Española. Es una norma con rango de ley propia del Ejecutivo. Podrá ser dictado por el Gobierno cuando exista un presupuesto habilitante que lo justifique, que ha de ser una extraordinaria y urgente necesidad de regulación de esa materia concreta. Sin embargo, esta figura no está prevista en el ordenamiento jurídico asturiano por lo que para aprobar una Ley sería necesario un periodo de tiempo de varios meses que resultaría incompatible con la situación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/28 de crisis sanitaria actual que demanda de medidas urgentes y extraordinarias en el menor plazo posible. Igualmente, es preciso traer a colación el Informe de la Agencia de Protección de Datos nº 0017/2020 donde se recoge que existen salvaguardas necesarias para permitir legítimamente los tratamientos de datos personales en situaciones de emergencia sanitaria como la que nos encontramos, respetando los principios establecidos como es la limitación de la finalidad para salvaguardar intereses vitales como son la salud de las personas.” 5. Sobre la proporcionalidad de los tratamientos de datos personales. En el EscritoConsejería1 se aporta la siguiente valoración a este respecto: “Idoneidad y necesidad: Como señala la Resolución de 29 de julio de 2020, de la Consejería de Salud, de tercera modificación de las medidas urgentes de prevención, contención y coordinación necesarias para hacer frente a la crisis sanitaria ocasionada por el COVID-19 en el momento actual, nos encontramos en una situación crítica y de excepcional trascendencia para la salud mundial y para la salud de la población asturiana. La evolución de la pandemia será dinámica y muchas de las decisiones que se vayan tomando tendrán que ser consecuentes a los cambios epidemiológicos en cada momento. Aunque la tendencia epidemiológica de incidencia de casos en nuestra comunidad autónoma ha sido muy contenida desde el 11 de junio -siendo una de las regiones europeas con menos casos- tanto la situación actual de brotes en otras comunidades autónomas como el incremento de tránsito de personas de zonas con más incidencia, suponen que haya una alta probabilidad de aparición de nuevos casos y de brotes a lo largo de las próximas semanas. Sería importante mantener una incidencia contenida tanto para establecer un adecuado control en el presente como para poder llegar al otoño con la mejor situación epidemiológica posible y con un sistema de salud pública y sanitario recuperado del impacto que ha supuesto la primera onda epidémica, y así, de esta forma, garantizar los mejores servicios de vigilancia, prevención y atención a la población asturiana. Proporcionalidad: La obligación de registrar los datos y el teléfono de contacto de los clientes y usuarios que acudan a hoteles, albergues y otros alojamientos turísticos, peluquerías, barberías, centros de belleza, gabinetes de estética, salones de manicura, pedicura y depilación, saunas, balnearios, spas y gimnasios, tiene como única finalidad facilitar el rastreo y seguimiento de contactos de casos positivos o sospechosos de Covid-19. Además, la medida no implica en general una carga significativa para los establecimientos afectados dado que en la actualidad muchos de ellos llevan registros de sus clientes o usuarios o emplean sistemas de cita previa. Esta medida tiene carácter voluntario para los titulares de establecimientos de hostelería y restauración, discotecas y locales de ocio nocturno. La [sic] medidas que se adoptan contienen la regulación imprescindible para la consecución de los objetivos de facilitar el rastreo y seguimiento de contactos de casos positivos o sospechosos de Covid-19, ya que resultan proporcionadas al bien público que se trata de proteger. La identificación, cuarentena y seguimiento de los contactos de casos de COVlD19. constituye uno de los pilares básicos para conseguir interrumpir las cadenas de transmisión que pueden originarse en establecimientos donde coinciden en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/28 tiempo personas no convivientes en condiciones en las que no siempre se puede asegurar una adecuada distancia interpersonal. En este sentido, la posibilidad de disponer de forma inmediata de los datos de contacto de las personas que hayan podido coincidir con casos de COVID19 en estos establecimientos, durante los periodos de riesgo de transmisibilidad de la infección de estos casos, supone una mejora importante en la rapidez y la efectividad de la adopción de medidas de control sobre estos contactos. Igualmente, es preciso señalar que la recogida de tales datos requerirá el consentimiento del interesado. Bien es cierto que incluso el considerando 54 del RGPD admite que el tratamiento de categorías, especiales de datos personales puede ser necesario por razones de interés público en el ámbito de la salud pública sin contar con el consentimiento del interesado. Nuevamente, podemos observar como la medida establecida por esta Consejería resulta proporcionada a la finalidad perseguida y pretende respetar en todo momento el principio de minimización del dato.” 6. Sobre los plazos de conservación de los datos personales. Sobre esta materia el EscritoConsejería1 refiere únicamente lo siguiente: “Por ello, solo será necesario acudir a los datos registrados (nombre y/o apellidos y teléfono) cuando estemos ante un caso positivo o sospechoso de Covid-19. Los datos deberán ser suprimidos pasados un mes desde el acceso ya que transcurrido dicho plazo, pierden su finalidad, cual es la de hacer frente a la crisis sanitaria a la nos enfrentamos.” SÉPTIMO: De conformidad con las evidencias de las que se dispone, la SGID considera que el tratamiento de los datos personales que se realiza por la investigada no cumple las condiciones que impone la normativa sobre protección de datos, por lo que procede la apertura del presente procedimiento sancionador. OCTAVO: Con fecha 22 de julio de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción de los artículos 5.1.c), 5.1.e), 7 y 13 del RGPD, tipificadas en el artículo 83.5 del RGPD y el artículo 72.1 de la LOPDGDD. Asimismo, ordenó a la CONSEJERÍA DE SALUD DEL GOBIERNO DEL PRINCIPADO DE ASTURIAS, de acuerdo con lo dispuesto en el artículo 58.2
4. d)del RGPD, para que en el plazo de DIEZ DÍAS procediera a ordenar al responsable o encargados de los tratamientos, que las operaciones de tratamiento se ajustasen a las disposiciones del RGPD y la LOPDGDD. También requirió para que en el plazo de UN MES acreditase ante la AEPD el cumplimiento de: - La adopción de todas las medidas necesarias para que la entidad investigada actúe de conformidad con los principios de «minimización de datos» y «limitación del plazo de conservación», del artículo 5.1 apartados
5. c)y
6. e)del RGPD. - La adopción de las medidas necesarias para facilitar la información prevista en el artículo 13 del RGPD, debiendo facilitar a las personas que accedan al establecimiento correspondiente, con carácter previo a la recogida de los datos per- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/28 sonales de los mismos, toda la información exigida en el citado precepto, para lo que se deberá tener en cuenta lo dispuesto en el artículo 7 del RGPD en relación con las condiciones para el consentimiento y artículo 6 de la LOPDGDD. NOVENO: El acuerdo de inicio es debidamente notificado electrónicamente a la parte reclamada en fecha 22 de julio de 2021, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, según certificado que figura en el expediente. DÉCIMO: Con fecha tanto de emisión como de notificación de 19 de noviembre de 2021, la instructora del procedimiento acuerda la apertura de un período de prueba por un plazo de 10 días hábiles, con el fin de que puedan llevarse a cabo las pruebas que, por su relevancia, a continuación, se declaran pertinentes: 1. Se dan por reproducidos a efectos probatorios todos los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas que forman parte del procedimiento E/06499/2020. 2. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al Acuerdo de iniciación del procedimiento sancionador referenciado presentadas por la CONSEJERÍA DE SALUD. Frente a dicho acuerdo de apertura de período probatorio la parte reclamada no ha realizado manifestación ni ha aportado documento adicional alguno. UNDÉCIMO: Transcurrido el plazo otorgado para la formulación de alegaciones al acuerdo de inicio del procedimiento, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
7. f)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP) -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimientoestablece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
8. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/28 HECHOS PROBADOS PRIMERO: Con fecha 11 de junio de 2020 entra en vigor el, ya derogado, Real Decreto-ley 21/2020, de 9 de junio, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID-19. Los artículos 5, 23, 26 y 27, disponían: Artículo 5. Planes y estrategias de actuación para afrontar emergencias sanitarias. Con arreglo a lo previsto por el artículo 65 de la Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud, se procederá a la adopción de planes y estrategias de actuación para afrontar emergencias sanitarias, mediante actuaciones coordinadas en salud pública, atendiendo a los distintos niveles de riesgo de exposición y de transmisión comunitaria de la enfermedad COVID-19 para el desarrollo de las distintas actividades contempladas en este real decretoley. Artículo 23. Obligación de información. 1. Se establece la obligación de facilitar a la autoridad de salud pública competente todos los datos necesarios para el seguimiento y la vigilancia epidemiológica del COVID-19 que le sean requeridos por esta, en el formato adecuado y de forma diligente, incluidos, en su caso, los datos necesarios para la identificación personal. 2. La obligación establecida en el apartado anterior es de aplicación al conjunto de las administraciones públicas, así como a cualquier centro, órgano o agencia dependiente de estas y a cualquier otra entidad pública o privada cuya actividad tenga implicaciones en la identificación, diagnóstico, seguimiento o manejo de los casos COVID-19. En particular, será de aplicación a todos los centros, servicios y establecimientos sanitarios y servicios sociales, tanto del sector público como del privado, así como a los profesionales sanitarios que trabajan en ellos. Artículo 26. Provisión de información esencial para la trazabilidad de contactos. Los establecimientos, medios de transporte o cualquier otro lugar, centro o entidad pública o privada en los que las autoridades sanitarias identifiquen la necesidad de realizar trazabilidad de contactos, tendrán la obligación de facilitar a las autoridades sanitarias la información de la que dispongan o que les sea solicitada relativa a la identificación y datos de contacto de las personas potencialmente afectadas. Artículo 27. Protección de datos de carácter personal. “1. El tratamiento de la información de carácter personal que se realice como consecuencia del desarrollo y aplicación del presente real decreto-ley se hará de acuerdo a lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y en lo establecido en los artículos ocho.1 y veintitrés de la Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/28 14/1986, de 25 de abril, General de Sanidad. En particular, las obligaciones de información a los interesados relativas a los datos obtenidos por los sujetos incluidos en el ámbito de aplicación del presente real decreto-ley se ajustarán a lo dispuesto en el artículo 14 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, teniendo en cuenta las excepciones y obligaciones previstas en su apartado 5. 2. El tratamiento tendrá por finalidad el seguimiento y vigilancia epidemiológica del COVID-19 para prevenir y evitar situaciones excepcionales de especial gravedad, atendiendo a razones de interés público esencial en el ámbito específico de la salud pública, y para la protección de intereses vitales de los afectados y de otras personas físicas al amparo de lo establecido en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Los datos recabados serán utilizados exclusivamente con esta finalidad. 3. Los responsables del tratamiento serán las comunidades autónomas, las ciudades de Ceuta y Melilla y el Ministerio de Sanidad, en el ámbito de sus respectivas competencias, que garantizarán la aplicación de las medidas de seguridad preceptivas que resulten del correspondiente análisis de riesgos, teniendo en cuenta que los tratamientos afectan a categorías especiales de datos y que dichos tratamientos serán realizados por administraciones públicas obligadas al cumplimiento del Esquema Nacional de Seguridad. 4. El intercambio de datos con otros países se regirá por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, teniendo en cuenta la Decisión n.º 1082/2013/UE del Parlamento Europeo y del Consejo, de 22 de octubre de 2013, sobre las amenazas transfronterizas graves para la salud y el Reglamento Sanitario Internacional