PS-00498-2022

1/21  Expediente N.º: EXP202101321 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Doña A.A.A. (en adelante, la parte reclamante) con fecha 13 de julio de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CONSEJERÍA DE EDUCACIÓN de la Junta de Castilla y León con NIF S4711001J (en adelante, EDUCACIÓN). Los motivos en que basa la reclamación son los siguientes: La reclamante trabaja en un instituto de enseñanza secundaria y expone que la Consejería de Sanidad de la Junta de Castilla y León ha proporcionado al centro donde trabaja sus datos de salud con respecto a la vacunación del Covid. A su vez, indica que los datos fueron publicados en el tablón de anuncios de la sala de profesores de su centro educativo, constando en el documento controvertido el nombre, apellidos y D.N.I. de los docentes que no acudieron a vacunarse en la fecha en la que se les ofreció. La reclamante comunicó a la dirección del centro que no le parecía adecuada la publicación de los datos y le contestaron que la exposición era legal al publicarse en un lugar en el que solo acceden los profesores. Junto a la reclamación aporta las fotografías que acreditan la exposición de los datos en un tablón. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a EDUCACIÓN y a la Consejería de Sanidad, para que procediesen a su análisis e informasen a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado a EDUCACIÓN, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, fue aceptado en fecha 23 de agosto de 2021 como consta en el certificado que obra en el expediente. Con fecha 20 de septiembre de ese mismo año se recibe en esta Agencia escrito de respuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 El traslado a la Consejería de Sanidad, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, fue aceptado en fecha 23 de agosto de 2021, según consta en el certificado que obra en el expediente. La Consejería de Sanidad de la Junta de Castilla y León remite escrito de contestación con fecha 8 de julio de 2022, tras reiteración de solicitud de información. TERCERO: Con fecha 23 de noviembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En el contexto del procedimiento E/08873/2021 y como consecuencia del traslado efectuado por la Subdirección de Inspección de Datos, con fecha 20/09/2021 CONSEJERÍA DE EDUCACIÓN de la Junta de Castilla y León remite a esta Agencia la siguiente información y manifestaciones: 1. Manifiesta: “La reclamante expresa una queja por la inclusión de su nombre y apellidos en una lista de vacunación para profesores de un centro educativo de Castilla y León, expuesta en el interior de una sala con acceso restringido al personal docente del mismo, al considerar este hecho una exposición indebida de sus datos de salud. Más allá de la mencionada queja, no parece la reclamante pretender el ejercicio de alguno de los derechos en materia de protección de datos relacionados en los arts. 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en Io que respecta al tratamiento de datos personales (RGPD). En respuesta a esta queja, puede alegarse en primer lugar que aun siendo cierto que los datos de salud gozan de una especial protección, cabría plantearse la duda de si revisten tal naturaleza los llamamientos a un proceso global de vacunación colectiva del profesorado de un centro que no excluye a ningún docente, y que por consiguiente no singulariza en materia de salud a alguno de ellos frente a los demás. Asimismo, cabría extender esta reflexión, no solo a la primera convocatoria, sino a los sucesivos llamamientos de segunda oportunidad, que tratan de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21 conseguir la vacunación universal de todos los docentes, en la medida que su alta responsabilidad al tratar con menores exige una especial atención y cuidado por su parte a la hora de evitar cualquier posibilidad de contagio a alumnos, que a su vez podrían contagiar probablemente al resto de miembros de la unidad familiar. […] En base a todo lo anterior, es opinión de este Delegado que, más allá de las dudas expresadas sobre la calificación como datos de salud que alega la reclamante, concurren de apreciarse en este caso algunas de las circunstancias señaladas en el art. 9.2 del RGPD, que excepcionan la rigurosa prohibición del tratamiento de datos personales de esta naturaleza, junto con los reveladores del origen étnico, convicción religiosa o política, afiliación sindical, etc., contenidas en el apartado primero del citado artículo. En este sentido, se puede considerar de aplicación el art. 9.2 g), entendiendo el tratamiento necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión, en este caso tanto el RD de alarma como las Leyes sobre Salud Pública actualmente en vigor. Asimismo, el art. 9.2 h), por ser el tratamiento necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social. E igualmente, el art. 9.2 i), por ser el tratamiento necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios Finalmente, en la medida en que la exposición por el centro de una lista de su personal docente para información de los lugares y fechas de vacunación contra el Covid-19, en el recinto de uso exclusivo de mencionado personal, podría asimilarse a una publicación o un anuncio, cabrían considerarse aplicables al caso las orientaciones proporcionadas por la Agencia Española de Protección de Datos para la aplicación de la Disposición Adicional séptima de la LOPDGDD, que en ninguno de los casos excluye la inclusión en los mismos del nombre y apellidos de los interesados. […]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 Como consecuencia del requerimiento de información efectuado por la inspección, con fecha 08/07/2022 CONSEJERÍA DE SANIDAD de la Junta de Castilla y León remite a esta Agencia la siguiente información y manifestaciones: 1. Manifiesta: “[…] Puesto en contacto con el responsable de tratamiento, este me informó que no remitió ninguna información ni dato alguno de la reclamante al centro educativo en el que trabaja. Lo que sí consta al responsable de tratamiento es que desde la Dirección General de Centros, Planificación y Ordenación Educativa de la Consejería de Educación se remitieron, mediante correo electrónico de fecha 24 de febrero de 2021, datos de la reclamante, junto a los datos de otros docentes, a los solos efectos de organizar los grupos de vacunación de acuerdo a lo establecido en la Estrategia de Vacunación COVID-19 de 9 de febrero de 2021, vigente en ese momento. Dicha remisión tiene, en mi opinión, base de legitimación en la necesidad para el cumplimiento de una misión de interés público en el ámbito de la salud pública, en los términos de los artículos 6.1.

1. e)y 9.2.
2. i)del Reglamento General de Protección de Datos, así como en el interés vital de la titular de los datos y de terceros, en los términos de los artículos 6.1.
3. d)y 9.2.
4. c)del citado Reglamento. Todo ello conforme al Informe 0017/2020 sobre tratamiento de datos en relación con el Covid-19 del Gabinete Jurídico de la AEPD.” 2. Aporta documentación donde también manifiesta: “[…] Con el fin de poder ser citados a vacunarse, fueron remitidos a esta Dirección General desde la Consejería de Educación en documentos Excel, los listados por provincia y, en el caso de Valladolid y León por Área Sanitaria, con los datos de los docentes y personal de educación infantil, necesidades educativas especiales, educación primaria, secundaria y bachillerato, tanto de Educación Pública como concertada, independientemente del tipo de contrato (trabajadores e interinos), entre los que se encontraban los datos de la persona reclamante. Estos datos fueron remitidos, únicamente y a nadie más, a las Gerencias de Área correspondientes al objeto de organizar su llamamiento para la vacunación como ya se ha indicado más arriba.” QUINTO: Con fecha 26 de agosto de 2022 se remite nuevo requerimiento de información a la Consejería de Sanidad para clarificar la información remitida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 La notificación consta entregada con fecha 29/08/2022; si bien, no se ha recibido contestación. SEXTO: Con fecha 26 de septiembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.
5. f)del RGPD y artículo 32 del RGPD, tipificadas en los artículos 83.5 y 83.4 del RGPD, respectivamente. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que manifestaba: “Breve relato de los hechos La reclamante expresa una queja en julio de 2021 por la inclusión de su nombre y apellidos en una lista de vacunación para profesores de un centro educativo público de Castilla y León, expuesta en el interior de una sala con acceso restringido al personal docente del mismo, al considerar este hecho una exposición indebida de sus datos de salud. Más allá de la mencionada queja, no parece la reclamante pretender el ejercicio de ninguno de los derechos en materia de protección de datos relacionados en los arts. 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (RGPD). Después de las alegaciones formuladas por las Consejerías de Educación y Sanidad, y a la vista de estos hechos, la Agencia Española de Protección de Datos acuerda el inicio de un procedimiento sancionador contra la Consejería de Educación de Castilla y León que es notificada en la fecha especificada en el párrafo anterior.” En contestación a dicha alegación, esta Agencia Española de Protección de Datos se remite a los hechos expuestos en el acuerdo de inicio, así como a los antecedentes y hechos probados de esta propuesta de resolución. “Una lista de vacunación universal NO contiene datos de salud En respuesta a la queja que da origen al procedimiento, puede alegase en primer lugar que aun siendo cierto que los datos de salud gozan de una especial protección, cabría plantearse la duda de si revisten tal naturaleza los llamamientos a un proceso global de vacunación colectiva del profesorado de un centro que no excluye a ningún docente, y que por consiguiente no singulariza en materia de salud a ninguno de ellos frente a los demás. Es decir, no descubre ninguna patología subyacente ni cataloga de ninguna manera a los afectados en materia de salud. No revela ningún dato de sus dolencias, sino que realiza un llamamiento a la vacunación generalizado y global frente a una epidemia que, en el caso de ciertos colectivos, como los médicos, los enfermeros, los trabajadores de residencias de ancianos o los profesores de alumnos menores de edad, más que regirse por sus propias convicciones debería considerarse un auténtico deber moral relacionado con el ejercicio de su profesión. Por esto mismo, cabría extender esta reflexión, no solo a la primera convocatoria, sino a los sucesivos llamamientos de segunda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 oportunidad, que tratan de conseguir la vacunación universal de un colectivo como el docente, en la medida que su alta responsabilidad al tratar con menores, exige una especial atención y cuidado por su parte a la hora de evitar cualquier posibilidad de contagio a los alumnos, que a su vez podrían contagiar probablemente al resto de miembros de la unidad familiar.” En contestación a dicha alegación, debe resaltarse que ante los hechos probados se está proponiendo sanción por la publicación en el tablón de anuncios de la sala de profesores del centro educativo en el que presta sus servicios la parte RECLAMANTE, de un documento en el que constaban el nombre, los apellidos y el DNI de los docentes que no acudieron a vacunarse, dispuestos a la vista de todos los docentes y empleados del centro. Dado lo planteado, es importante incidir en el concepto de dato de salud, el RGPD define en su artículo 4.15 los datos relativos a la salud como los “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud.” El considerando 35 del RGPD aclara dicha definición señalando que “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.” Es evidente y no deja lugar a dudas que, la publicación de un documento de los docentes que no acudieron a vacunarse con nombre, apellidos y D.N.I. supone la publicación de datos personales relativos y dentro de la esfera de la salud y, en consecuencia, sometidos a una especial protección. “La especial naturaleza de la función pública En este sentido, conviene analizar la especial naturaleza de los datos personales de un funcionario docente de un centro público, que se rige por códigos de conducta que le obligan a desempeñar sus tareas con diligencia, y velar por los intereses generales con sujeción y observancia de la Constitución y del resto del ordenamiento jurídico. Como establece una conocida monografía en la materia: “el desempeño de la labor de los empleados públicos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 es deudor de los principios que sustentan la labor pública: transparencia y control democrático. Por eso debemos preguntarnos si, dependiendo de la finalidad buscada por la norma, el derecho de los empleados públicos a la protección de datos personales puede y debe ceder a favor de esas otras finalidades o bienes más valiosos”. No solo porque que en efecto, los datos de los empleados públicos puedan exigirse desde el ángulo de otras leyes como la relativa a la reutilización de los datos públicos (Ley 37/2007, de 16 de noviembre, sobre Reutilización de la Información del Sector Público), la ley de transparencia (Ley 19/2013, de 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno), o la Ley de procedimiento administrativo, sino especialmente en este caso la Ley Orgánica 3/1986, de 14 de abril, de Medidas Especiales en Materia de Salud Pública, sus normas de desarrollo, y las dictadas precisamente por el estado de alarma y la erradicación de la pandemia del Covid-19”. Respecto a la alegación formulada, efectivamente los empleados públicos deberán desempeñar con diligencia las tareas que tengan asignadas y velar por los intereses generales con sujeción y observancia de la Constitución y del resto del ordenamiento jurídico, tal y como se recoge en el Real Decreto Legislativo 5/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto Básico del Empleado Público al regular los derechos y deberes que configuran el código de conducta de los empleados públicos; si bien, en ningún caso, este deber puede implicar una vulneración al derecho fundamental a la protección de datos de carácter personal. En cuanto, a la mención a la Ley 37/2007, de 16 de noviembre, sobre Reutilización de la Información del Sector Público, debe resaltarse que el régimen de reutilización garantiza el pleno respecto de los principios que consagran la protección de datos personales, tal y como se recoge en el preámbulo de la misma. Respecto a la Ley 19/2013, de 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno, debe recordarse que el derecho de acceso a este tipo de datos sólo podrá autorizarse con el consentimiento expreso. Por último, recordar que la Ley Orgánica 3/1986, de 14 de abril, de Medidas Especiales en Materia de Salud Pública, sus normas de desarrollo, y las dictadas precisamente por el estado de alarma y la erradicación de la pandemia del Covid-19, habilitan a las autoridades sanitarias a adoptar las medidas que consideren necesarias en caso de riesgo de carácter transmisible; sin que, en ningún caso, suponga una vulneración innecesaria de derechos fundamentales como es el derecho fundamental a la protección de datos de carácter personal. De hecho, la normativa sobre protección de datos contempla las excepciones y condiciones en que los datos de especial protección pueden ser tratados, considerándose, como se razona en esta propuesta, que el tratamiento realizado no se ajustaba a tales condiciones. Por lo demás, no se adivina, ni el reclamado lo motiva, cuáles serían los intereses con base en los cuales los datos de salud de los empleados públicos merecieran una menor protección que los del resto de la ciudadanía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 “Estado de alarma por la pandemia del Covid-19 En efecto, la gravísima situación provocada por la epidemia del Covid-19 ha requerido la proclamación de un estado de alarma, que solo se ha declarado de forma muy excepcional en los casi 44 años de vigencia de la Constitución. Estado de alarma por otra parte, que proclamado por el RD 463/2020, de 14 de marzo, fue necesario prorrogar dada la persistencia de la crisis sanitaria sin precedentes causada por la pandemia del coronavirus, con gravísimas consecuencias sociales, económicas, sanitarias y educativas. Y situación cuya gravedad debida a las múltiples oleadas y variantes del virus, no cesó a lo largo de los cursos 19/20 y 20/21, haciendo extremadamente difícil el mantenimiento de la calidad de la enseñanza en toda España y en concreto en Castilla y León. Un mantenimiento de las tareas educativas que solo ha sido posible con el enorme esfuerzo de profesores, padres y alumnos, que junto a la extraordinaria inversión de la administración educativa, ha mantenido en pie la enseñanza, haciendo difícilmente comprensible la falta de responsabilidad de cualquier miembro de su profesorado.” Desde esta Agencia se pone en valor el esfuerzo realizado por profesores, padres y alumnos, así como por la administración educativa para el mantenimiento de la calidad educativa durante la gravísima situación provocada por la epidemia del Covid-19. Dicha consideración; en ningún caso, justifica una vulneración de la normativa vigente en materia de protección de datos, que como se ha dicho con anterioridad, concilia las condiciones en que deben producirse los tratamientos con la garantía de objetivos como la salud pública o el interés vital. “Justificación del interés público esencial en el ámbito de la salud pública En base a todo lo anterior, es opinión de este Delegado que, más allá de las dudas expresadas sobre la calificación como datos de salud que alega la reclamante, concurren de apreciarse en este caso algunas de las circunstancias señaladas en el art. 9.2 del RGPD, que excepcionan la rigurosa prohibición del tratamiento de datos personales de esta naturaleza, junto con los reveladores del origen étnico, convicción religiosa o política, afiliación sindical, etc., contenidas en el apartado primero del citado artículo. C/ Jorge Juan, 6 28001 – Madrid  En este sentido, se puede considerar de aplicación el art. 9.2 g), entendiendo el tratamiento necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión, en este caso tanto el RD de alarma como las Leyes sobre Salud Pública actualmente en vigor.  Asimismo, el art. 9.2 h), por ser el tratamiento necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social. www.aepd.es sedeagpd.gob.es 9/21  E igualmente, el art. 9.2 i), por ser el tratamiento necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios. Todo ello, al margen de que en el ámbito público educativo, en base a la Disposición Adicional 23ª de la Ley Orgánica 2/2006, de 3 de mayo, de Educación, en conexión con el art. 6.1 del RGPD la legitimación o base jurídica para el tratamiento de datos personales se encuentra amparado por la función educativa, siempre dimanante de una obligación legal o de una misión realizada en interés público en ejercicio de poderes públicos en el campo de la enseñanza. Bases jurídicas que en el presente caso se ven reforzadas por los arts. 6.1
6. c)y 6.1
7. d)del RGPD, ya que el tratamiento deriva de las obligaciones que a la administración educativa le imponen las normas en materia de seguridad y salud, al mismo tiempo que necesario para proteger intereses vitales del interesado o de otras personas físicas, como son los alumnos y sus familias.” En este sentido, esta Agencia debe mencionar que la excepción a la prohibición de tratamiento de, entre otros, la salud, la sanidad pública y la gestión de la asistencia sanitaria, con fines de interés público, exige siempre que se den las garantías de protección de datos y de otros derechos fundamentales. Además, debe hacerse referencia al Considerando 54 del RGPD “El tratamiento de categorías especiales de datos personales, sin el consentimiento del interesado, puede ser necesario por razones de interés público en el ámbito de la salud pública. Ese tratamiento debe estar sujeto a medidas adecuadas y específicas a fin de proteger los derechos y libertades de las personas físicas. En ese contexto,« salud pública» debe interpretarse en la definición del Reglamento (CE) no 1338/2008 del Parlamento Europeo y del Consejo