1/7 Expediente N.º: PS/00423/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 17 de marzo de 2021, D. A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra IDCQ HOSPITALES Y SANIDAD, S.L.U., con NIF B87324844 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, que presta sus servicios como facultativo en el Hospital Universitario General de ***COMUNIDAD.1 (en adelante, HUGC), expone que el Servicio de Salud Laboral del HUGC, comunicó a su jefe de servicio, el resultado obtenido en la prueba RT-PCR que se le practicó para la detección del virus SARSCoV-2 (COVID-19). A efectos de acreditarlo, aporta copia de una impresión de pantalla de unos mensajes de WhatsApp que se habrían enviado la parte reclamante y su jefe, tras realizarse la PCR, en los que se puede visualizar, entre otros, que su jefe le habría comunicado que había dado positivo en la segunda PCR, y que la parte reclamante le contestaba que a él no le habían comunicado el resultado. Asimismo, señala que el Servicio de Salud Laboral mencionado, aún no se había puesto en contacto con él, para comunicarle el resultado de la prueba. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No consta en esta Agencia contestación al traslado de la reclamación. TERCERO: En fecha 11 de agosto de 2021, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: En fecha 27 de enero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 adelante, LPACAP), por la presunta infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5 del RGPD. El acuerdo de inicio fue enviado, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, siendo recibido en fecha 2 de febrero de 2022, como consta en el certificado que obra en el expediente. QUINTO: Notificado el citado acuerdo de inicio, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que en ningún momento el Hospital vulneró la confidencialidad de los datos de salud del reclamante, toda vez que una vez conocido el resultado de la prueba RT-PCR realizada, el Servicio de Urgencias intentó contactar varias veces con el reclamante, pero no fue posible comunicarse con él, y como era empleado del Hospital, tuvieron que seguir las medidas establecidas en el protocolo de actuación COVID. En ese sentido, se procedió a comunicar el resultado al Servicio de Prevención de Riesgos Laborales del Hospital y a su jefe de Servicio como responsable de su departamento para realizar el estudio de contactos y evitar así la propagación del virus en el centro sanitario, considerando que no sólo se podían ver afectados los mismos empleados sino también pacientes del Hospital. Asimismo añade que la comunicación de datos de salud del reclamante por parte del Servicio de Urgencias al Servicio de Prevención de Riesgos Laborales y al Jefe superior del reclamante, no supone una vulneración de la confidencialidad de los datos personales, toda vez que “en aplicación de lo establecido en la normativa sanitaria, laboral y, en particular, de prevención de riesgos laborales, los empleadores podrán tratar, de acuerdo con dicha normativa y con las garantías que establecen, los datos del personal necesarios para garantizar su salud y adoptar las medidas necesarias por las autoridades competentes, lo que incluye igualmente asegurar el derecho a la protección de la salud del resto del personal y evitar los contagios en el seno de la empresa y/o centros de trabajo que puedan propagar la enfermedad al conjunto de la población”, conforme lo indicado en las FAQs sobre el coronavirus publicadas por la AEPD. SEXTO: En fecha 25 de marzo de 2022, el instructor del procedimiento acordó practicar las siguientes pruebas, en los siguientes términos: “Se ACUERDA practicar las siguientes pruebas:
- Se dan por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento E/04164/
- Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por IDCQ HOSPITALES Y SANIDAD, S.L.U., y la documentación que a ellas acompaña.
- Se acuerda requerir a la entidad IDCQ HOSPITALES Y SANIDAD, S.L.U. para que aporte la información y/o documentación siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 - Protocolo de actuación COVID que contempla las medidas de protección de carácter organizativo, así como medidas de protección colectiva y personal necesarias para la detección, notificación, estudio y manejo de casos y contactos en el entorno laboral. - Acreditación de los intentos de contacto con el reclamante para comunicarle el resultado de las pruebas, tras los cuales lo comunicaron al jefe del Servicio (registro de llamada, capturas de pantallas, o incluso declaración jurada de la persona que realizó los intentos).” SÉPTIMO: En fecha 8 de abril de 2022, la parte reclamada aportó los documentos solicitados, esto es, el Protocolo de actuación COVID del Hospital y declaración jurada de la persona que realizó los intentos telefónicos para contactar con el reclamante, a fin de trasladarle los resultados de su segunda prueba RT-PCR. OCTAVO: En fecha 3 de junio de 2022, se formuló propuesta de resolución, proponiendo: << Que por la Directora de la Agencia Española de Protección de Datos se acuerde proceder al archivo de las presentes actuaciones.>> La citada propuesta de resolución fue enviada, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, siendo recibida en fecha 6 de junio de 2022, como consta en el certificado que obra en el expediente. NOVENO: La parte reclamada no ha presentado alegaciones a la Propuesta de Resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta que en fecha 17 de marzo de 2021, la parte reclamante interpuso reclamación ante la Agencia Española de Protección de Datos, toda vez que la parte reclamada comunicó a su jefe de servicio, el resultado obtenido en la prueba RT-PCR que se le practicó para la detección del virus SARS-CoV-2 (COVID-19). SEGUNDO: La parte reclamada expone que en ningún momento vulneró la confidencialidad de los datos de salud del reclamante, toda vez que una vez conocido el resultado de la prueba RT-PCR realizada, el Servicio de Urgencias intentó contactar con él varias veces, no siendo posible y como era empleado del Hospital, tuvieron que seguir las medidas establecidas en el protocolo de actuación COVID. Consta incorporado al expediente Protocolo de actuación COVID del Hospital y declaración jurada de la persona que realizó los intentos telefónicos para contactar con el reclamante, a fin de trasladarle los resultados de su segunda prueba RT-PCR, no siendo posible la comunicación con el reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Examinada la documentación presentada, en relación con los tratamientos de datos resultantes de la actual situación derivada de la extensión del virus COVID-19, en primer lugar, con carácter general, debe aclararse que la normativa de protección de datos personales, en tanto que, dirigida a salvaguardar un derecho fundamental, se aplica en su integridad a la situación actual, dado que no existe razón alguna que determine la suspensión de derechos fundamentales, ni dicha medida ha sido adoptada. Sin perjuicio de lo anterior, la propia normativa de protección de datos personales, Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos, RGPD) contiene las salvaguardas y reglas necesarias para permitir legítimamente los tratamientos de datos personales en situaciones, como la presente, en que existe una emergencia sanitaria de alcance general. Por ello, al aplicarse dichos preceptos previstos para estos casos en el RGPD, en consonancia con la normativa sectorial aplicable en el ámbito de la salud pública, las consideraciones relacionadas con la protección de datos -dentro de los límites previstos por las leyes- no deberían utilizarse para obstaculizar o limitar la efectividad de las medidas que adopten las autoridades, especialmente las sanitarias, en la lucha contra la epidemia, por cuanto ya la normativa de protección de datos personales contiene una regulación para dichos casos que compatibiliza y pondera los intereses y derechos en liza para el bien común. El Considerando
(46)del RGPD ya reconoce que, en situaciones excepcionales, como una epidemia, la base jurídica de los tratamientos puede ser múltiple, basada tanto en el interés público, como en el interés vital del interesado u otra persona física.
(46)El tratamiento de datos personales también debe considerarse lícito cuando sea necesario para proteger un interés esencial para la vida del interesado o la de otra persona física. En principio, los datos personales únicamente deben tratarse sobre la base del interés vital de otra persona física cuando el tratamiento no pueda basarse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 manifiestamente en una base jurídica diferente. Ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado, como por ejemplo cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano. En consecuencia, en una situación de emergencia sanitaria como a la que se refiere el caso concreto que se examina, es preciso tener en cuenta que, en el exclusivo ámbito de la normativa de protección de datos personales, la aplicación de la normativa de protección de datos personales permitiría adoptar al responsable del tratamiento aquellas decisiones que sean necesarias para salvaguardar los intereses vitales de las personas físicas, el cumplimiento de obligaciones legales o la salvaguardia de intereses esenciales en el ámbito de la salud pública, dentro de lo establecido por la normativa material aplicable. Cuáles sean dichas decisiones, (desde el punto de vista de la normativa de protección de datos personales, se reitera) serán aquellas que los responsables de los tratamientos de datos deban de adoptar conforme a la situación en que se encuentren, siempre dirigida a salvaguardar los intereses esenciales ya tan reiterados. Pero los responsables de tratamientos, al estar actuando para salvaguardar dichos intereses, deberán actuar conforme a lo que las autoridades establecidas en la normativa del Estado miembro correspondiente, en este caso España, establezcan. Del mismo modo, y en aplicación de lo establecido en la normativa de prevención de riesgos laborales, y de medicina laboral, los empleadores podrán tratar, de acuerdo con dicha normativa y con las garantías que estas normas establecen, los datos de sus empleados necesarios para garantizar la salud de todos sus empleados, lo que incluye igualmente al resto de empleados distintos del interesado, para asegurar su derecho a la protección de la salud y evitar contagios en el seno de la empresa y/o centros de trabajo. Ahora bien, los tratamientos de datos personales en estas situaciones de emergencia sanitaria, como se ha mencionado al principio, siguen siendo tratados de conformidad con la normativa de protección de datos personales (RGPD y Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, LOPDGDD), por lo que se aplican todos sus principios, contenidos en el artículo 5 RGPD, y entre ellos el de tratamiento de los datos personales con licitud, lealtad y transparencia, de limitación de la finalidad (en este caso, salvaguardar los intereses vitales/esenciales de las personas físicas), principio de exactitud, y por supuesto, y hay que hacer especial hincapié en ello, el principio de minimización de datos. Sobre este último aspecto hay que hacer referencia expresa a que los datos tratados habrán de ser exclusivamente los limitados a los necesarios para la finalidad pretendida, sin que se pueda extender dicho tratamiento a cualesquiera otros datos personales no estrictamente necesarios para dicha finalidad, sin que pueda confundirse conveniencia con necesidad, porque el derecho fundamental a la protección de datos sigue aplicándose con normalidad, sin perjuicio de que, como se ha dicho, la propia normativa de protección de datos personales establece que en situaciones de emergencia, para la protección de intereses esenciales de salud pública C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 y/o vitales de las personas físicas, podrán tratarse los datos de salud necesarios para evitar la propagación de la enfermedad que ha causado la emergencia sanitaria. Respecto del principio de limitación de la finalidad en relación con supuestos de tratamientos de datos de salud por razones de interés público, el Considerando
(54)RGPD es claro, cuando establece que: “El tratamiento de categorías especiales de datos personales, sin el consentimiento del interesado, puede ser necesario por razones de interés público en el ámbito de la salud pública. Ese tratamiento debe estar sujeto a medidas adecuadas y específicas a fin de proteger los derechos y libertades de las personas físicas. […] Este tratamiento de datos relativos a la salud por razones de interés público no debe dar lugar a que terceros, como empresarios, compañías de seguros o entidades bancarias, traten los datos personales con otros fines.” Del examen de la documentación aportada, interesa destacar que se trata de una situación absolutamente excepcional como es la actual situación derivada de la extensión del virus COVID-19 (situación de pandemia, imposibilidad de contacto, riesgo de contagio…) y que la falta de comunicación de los resultados de la segunda prueba RT-PCR, podría haber supuesto un riesgo vital para compañeros y pacientes. En este sentido, teniendo en cuenta que la comunicación al superior del reclamante se efectuó ante la imposibilidad de comunicar al propio interesado los resultados de su segunda prueba RT-PCR, (hay declaración jurada del funcionario que lo intentó), tuvo como fin el seguimiento de la política de riesgos laborales, ya que debía prevenirse a compañeros y pacientes que hubieran sido contacto estrecho y sólo se comunicó a la persona estrictamente imprescindible, al jefe del servicio del reclamante, no se desprenden indicios racionales de infracción de la normativa sobre protección de datos personales. De conformidad con las evidencias señaladas, se considera que los hechos expuestos no incumplen lo establecido en el artículo 5.1
- f)del RGPD, procediendo el archivo del presente procedimiento sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a IDCQ HOSPITALES Y SANIDAD, S.L.U. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-050522 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es