PS-00503-2021 | Europaius

1/60  Expediente N.º: EXP202100106 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: En fecha 14/06/2021 A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos (AEPD). La reclamación se dirige contra RUBIATO PAREDES, S.L, con NIF B85227635 (en adelante, RUBIATO o la parte reclamada). El motivo en el que basa la reclamación es un mensaje electrónico que recibió el 07/06/2021, según dice, enviado por el departamento de “RRHH” de RUBIATO, empresa en la que trabaja, en el que se pide a los empleados que faciliten información que les concierne relativa a su vacunación frente al Covid-19 sin informarles de “quién va a tratar esos datos, ni el tratamiento que se les va a dar, ni si los van a ceder a otras empresas del grupo [...]”. Anexa a su reclamación dos documentos que incorporan un mismo correo electrónico: el enviado desde la dirección ***EMAIL.1, firmado por B.B.B. (en adelante B.B.B.) “Dpto. Desarrollo y Gestión de Personas”, con el asunto “¿Te han vacunado (COVID) ya? Tienes cita para ello?” y el siguiente texto: “Quería pediros que cada uno, de manera individual, me indiquéis si está ya vacunado contra covid (primera dosis o proceso completado) Y si no lo estás si te han dado ya cita próxima para ello. Puedes hacerlo o bien respondiendo a este correo o por WhatsApp. El motivo de pediros esto es simplemente poder ir viendo la evolución de las vacunaciones en las empresas del grupo Valls Company, y además también, lógicamente, de manera interna en Rubiato. Esto nos facilita ir viendo el escenario que tenemos de cara a ir avanzando en la inmunidad de nuestros trabajadores. Si ya te han vacunado de alguna de las dosis, indícame día en que te han puesto la dosis. Y si tu vacuna es de una o de dos dosis. Si o te han vacunado todavía pero ya tiene mensaje con tu cita para ello. Indícame el día que te lo han programado. Si no te han vacunado y tampoco tienes mensaje, NO debes indicarme nada. Sí deberás hacerlo cuando más adelante te citen para ello. Si me respondes por correo es importante que en el correo me indiques tu nombre y apellidos y la información referente a la vacunación. Si lo haces por WhatsApp solo indícame tu situación de cara a la vacunación. Cualquier duda quedo a tu disposición. [...]” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/60 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a RUBIATO para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó el 07/07/2021, electrónicamente, de conformidad con lo establecido en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue aceptado por RUBIATO en fecha 08/07/2021, según el acuse de recibo emitido por el servicio de Soporte del Servicio de Notificación Electrónica y Dirección Electrónica Habilitada de la FNMT (en lo sucesivo, certificado de la FNMT) que obra en el expediente. El 06/08/2021 se recibe en la AEPD la respuesta del DPD de RUBIATO a la solicitud informativa en la que manifiesta lo siguiente: -Sobre la decisión que ha adoptado la empresa a la vista de la reclamación presentada contra ella, expone que “ha realizado una revisión y evaluación de su protocolo de actuación respecto a la prevención de contagios de COVID-19 en sus centros de trabajo y, en concreto, respecto de las medidas adoptadas para la recogida de los datos de vacunación de sus trabajadores.” Que fruto de la revisión y evaluación aludidas “ha decidido subsanar la falta de información respecto al tratamiento de los datos de vacunación de sus empleados”. Que, por ello, con fecha 05/08/2021, desde la cuenta de correo electrónico corporativo ***EMAIL.1, se envió a la plantilla un correo con la información preceptiva sobre la solicitud de datos de vacunación que inicialmente les había enviado. Este segundo correo (del que aporta una copia, anexo 1) dice así: <<En relación con el correo enviado el pasado 07/06/2021 en que se solicitaba información sobre la vacunación Covid, y ante las dudas que al respecto hayan surgido les informamos que: . Los datos de vacunación únicamente son conocidos por el personal del Área de Prevención de Riesgos Laborales . No se trata en ningún caso de una solicitud con carácter obligatorio, los empleados pueden facilitar la información sobre su estado de vacunación de forma totalmente voluntaria. . El conocimiento de los datos de vacunación no implica de ninguna manera un tratamiento diferenciado entre los trabajadores vacunados de aquellos que no lo han sido . Se incorpora la información necesaria sobre el tratamiento de los datos: -Finalidad del tratamiento: gestión PRL de la afección por Covid-19 -Legitimación: la relación laboral y el cumplimiento de una obligación legal -Ejercicio de derechos -Plazo de conservación de los datos: durante el tiempo necesario para la finalidad del tratamiento y, una vez finalizada la misma se mantendrá a disposición de la administración pública, jueces y tribunales durante el plazo previsto de prescripción de las acciones que resulten de aplicación al tratamiento de sus datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/60 -Cesión de datos: los datos no serán cedidos a terceros, ni a las demás empresas del Grupo Valls Company -Derecho a reclamar ante la AEPD . El área de Prevención de Riesgos Laborales trasladará a la empresa los datos estadísticos del estado de inmunización en ningún caso la empresa tendrá conocimiento ni podrá asociar los datos de vacunación con la identidad de los empleados de Rubiato Paredes.>> (El subrayado es nuestro) El DPD informa también de que RUBIATO cuenta con un “Protocolo de actuación casos COVID” (Anexo II) y un “Plan de contingencia frente a Covid 19 (Anexo III)”, documentos que aporta. -Respecto a las causas que han motivado la incidencia que origina la reclamación, explica que la actividad de RUBIATO, en tanto es una empresa alimentaria del sector cárnico, es “esencial y crítica” para garantizar a la población el suministro de alimentos, condición que le obliga no solo a extremar las medidas de seguridad sino también a la “vigilancia de salud de sus empleados”. Añade que “[...]con el objeto de realizar una gestión más eficiente de la afección por COVID-19, así como de conocer el estado de inmunidad de la plantilla [...]” se envió el 07/06/2021, desde la cuenta de correo electrónico corporativa de una trabajadora “del área de Prevención de Riesgos Laborales (***EMAIL.1)” un email a los empleados “consultando su estado respecto a la vacunación contra la COVID-19.” (El subrayado es nuestro) Dice que “Con ello se pretendía, en cumplimiento de las obligaciones de prevención de riesgos laborales y protección y vigilancia de la salud, y control sanitario alimentario, consultar el estado vacunal de las personas trabajadoras y, en consecuencia, reforzar la adecuada gestión de la afección por COVID-19 en los distintos centros de trabajo de Rubiato Paredes. [...] En este sentido, debemos resaltar que los Servicios de Prevención de Riesgos Laborales de las empresas están “llamados a cooperar con las autoridades sanitarias en la detección precoz de todos los casos compatibles con COVID-19 y sus contactos, y en la reincorporación de las personas vacunadas”, tal y como se recuerda en el “Procedimiento de actuación para los Servicios de Prevención de Riesgos Laborales frente a la exposición al Sars- CoV2” del Ministerio de Sanidad, cuya última actualización es de fecha 16 de julio de 2021.” A continuación, hace las siguientes manifestaciones que estimamos procedente transcribir: “En ningún caso el conocimiento del estado de vacunación ha supuesto modificación alguna en las medidas de seguridad que Rubiato Paredes lleva aplicando desde el comienzo de la crisis sanitaria. En concreto, [...], los centros de trabajo se encuentran perfectamente adecuados a las medidas de seguridad dictadas para la prevención de los contagios por la Covid-19 (mascarillas, distancia de seguridad, aforo reducido, mamparas, etc.). [...]” “Así mismo, no se ha producido ninguna diferencia de trato entre los empleados vacunados y no vacunados, manteniendo las mismas condiciones laborales.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/60 “Cabe reiterar que la empresa no ha tenido conocimiento en ningún momento de la información necesaria para identificar los datos de vacunación con la identidad de los trabajadores, a esta información solamente ha accedido una persona del área de Prevención de Riesgos Laborales.” La reclamada añade: “Cabe traer a colación en este punto, el “Procedimiento de actuación para los Servicios de Prevención de Riesgos Laborales frente a la exposición al Sars-CoV-2”, del Ministerio de Sanidad, establece que: “A medida que la vacunación de la población avanza, es necesario tener en cuenta el estado vacunal de las personas trabajadoras, tanto en el proceso diagnóstico de casos sospechosos como en el manejo de los contactos. Del mismo modo, teniendo también en cuenta la cobertura de vacunación y la situación epidemiológica actual, se plantean cambios en las guías de actuación para la gestión de la vulnerabilidad y el riesgo, que pueden permitir la reincorporación a su trabajo, con ciertas condiciones, de personas vacunadas. Pero, en cualquier caso, es necesario que las personas vacunadas sigan manteniendo las medidas de prevención y protección recogidas en este Procedimiento”. Por lo tanto, la finalidad que Rubiato Paredes desde el área de Prevención de Riesgos Laborales perseguía con esta actuación era reforzar la gestión de la vulnerabilidad y el riesgo de las personas trabajadoras, asegurando el derecho a la protección de la salud del personal y garantizando la adopción de las medidas adecuadas que permitan una correcta coordinación y manejo de los contactos y casos sospechosos. [...]. Sirva de ejemplo las últimas indicaciones realizadas respecto al criterio de cuarentena de los contactos estrechos: “Contactos vacunados: las personas trabajadoras que han recibido una pauta de vacunación completa y sean consideradas como contacto estrecho estarán exentas de la cuarentena si utilizan EPIs adecuados”.” (El subrayado es nuestro) -En cuanto a las medidas adoptadas para evitar que se produzcan incidencias similares, afirma haber adoptado las siguientes: “

a)El “Plan de contingencia frente a COVID-19 de Rubiato Paredes” se encuentra en proceso de actualización y adecuación a la situación epidemiológica actual en España, así como a las recomendaciones efectuadas por el Ministerio de Sanidad en la nueva versión del “Procedimiento de actuación para los Servicios de Prevención de Riesgos Laborales frente a la exposición al Sars-CoV-2”. Así, se incluirán referencias concretas a las personas trabajadoras vacunadas, indicando lo siguiente: - La recogida de los datos de vacunación de los empleados por parte del servicio de Prevención de Riesgos Laborales a fin de realizar una correcta prevención de contagios en los centros de trabajo. - En ningún caso la vacunación exime al trabajador de mantener todas las medidas de prevención y protección establecidas hasta el momento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/60 Así mismo, se encuentra en proceso de actualización y adaptación el “Protocolo de actuación casos COVID”, que incluirá los siguientes aspectos: - Guía de actuación para la gestión de la vulnerabilidad y el riesgo teniendo en cuenta la vacunación de los empleados que pertenezcan a los grupos vulnerables determinados. - Criterios de realización de cuarentena para los contactos completamente vacunados.
b)La información sobre los datos de vacunación de los empleados se encuentra únicamente a disposición del área de Prevención de Riesgos Laborales. [...]
c)Se procederá a elaborar un programa de formación y sensibilización del personal de Rubiato Paredes, [...]” (El subrayado es nuestro) -Por último, añade que el Grupo Vall Companys, del que forma parte RUBIATO, tiene una política de privacidad adaptada a la normativa en materia de protección de datos y que el 21/12/2020 se elaboró un “Informe de Auditoría del grado de cumplimiento del RGPD y la LOPDGDD”. TERCERO: En fecha 13/08/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. En cumplimiento del artículo 65.5 de la LOPDGDD, la decisión de admitir a trámite la reclamación se notificó electrónicamente a la parte reclamante el 13/08/2021, como lo acredita el certificado emitido por el servicio de Dirección Electrónica Habilitada Única (DEHÚ) que obra en el expediente. CUARTO: Acuerdo de inicio del procedimiento sancionador. En fecha 8/06/2022, la Directora de la Agencia Española de Protección de Datos acuerda iniciar procedimiento sancionador frente a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción de los artículos 6 y 9 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificadas ambas en el artículo 83.5.
a)del RGPD. QUINTO: Notificación del acuerdo de inicio. Alegaciones de la parte reclamada al acuerdo de inicio. El acuerdo se notifica electrónicamente a la parte reclamada siendo la fecha de puesta a disposición y de aceptación de la notificación el 8/06/2022. Así consta en el certificado de la DEHÚ que obra en el expediente. En fecha 22/06/2022 la reclamada formula alegaciones al acuerdo de inicio del expediente sancionador en las que solicita el archivo del procedimiento. Subsidiariamente, para el caso de que la AEPD aprecie la existencia de responsabilidad derivada de su actuación, solicita que estime como atenuante de la sanción a imponer, “conforme al artículo 83.2.del RGPD”: (
i)la excepcionalidad de la situación en la que se produjeron los hechos; (
ii)la falta de información e incertidumbre ocasionada por la emergencia sanitaria; (iii) el carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/60 esencial de la actividad desarrollada por RUBIATO y (
iv)la legitimación de las empresas para el tratamiento de los datos de vacunación de sus trabajadores para las finalidades indicadas anteriormente. No especifica, sin embargo, en qué apartado del artículo 83.2 del RGPD, que invoca, son subsumibles las circunstancias a las que alude. En defensa de sus respectivas pretensiones alega lo siguiente: - Dedica un epígrafe específico -alegación primera- al “Contexto excepcional en el que se producen los hechos”. En ese sentido, expone que, desde el 14/03/2020 en que se decretó el estado de alarma, RUBIATO, “dedicada al sector alimentario”, ha continuado su funcionamiento “cumpliendo con el deber de garantizar el suministro y abastecimiento de la alimentación a la población” y el personal de sus centros de trabajo no ha detenido su producción. Considera que la crisis sanitaria le ha obligado a adoptar las medidas que resultaban necesarias para “garantizar la protección de la salud laboral sus personas trabajadoras en los procesos de producción, manipulación y transporte de productos” y destaca que, durante la crisis, el personal de las empresas del sector alimentario, al que pertenece, se ha visto expuesto a un mayor riesgo, si se tiene en cuenta la continuidad de su labor y el carácter “necesariamente presencial de sus actividades”. Destaca, además, que el sector alimentario es considerado un “sector estratégico” en la Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas. El Anexo de esta Ley lo incluye en la relación de sectores estratégicos, que define (artículo 2) como “cada una de las áreas diferenciadas dentro de la actividad laboral, económica y productiva, que proporciona un servicio esencial o que garantiza el ejercicio de la autoridad del Estado o de la seguridad del país”. En su descripción del contexto en el que se produjeron los hechos que son objeto de valoración en este procedimiento sancionador la reclamada menciona que el Real Decreto 463/2020, de 14 de marzo, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el COVID19, en su artículo 15, “Medidas para garantizar el abastecimiento alimentario”, apartado 1, estableció que “Las autoridades competentes delegadas adoptarán las medidas necesarias para garantizar:
a)El abastecimiento alimentario en los lugares de consumo y el funcionamiento de los servicios de los centros de producción, permitiendo la distribución de alimentos desde el origen hasta los establecimientos comerciales de venta al consumidor, incluyendo almacenes, centros logísticos y mercados en destino. En particular, cuando resultara necesario por razones de seguridad, se podrá acordar el acompañamiento de los vehículos que realicen el transporte de los bienes mencionados.” Menciona, asimismo, el Real Decreto-ley 10/2020, de 29 de marzo, que regula un permiso retribuido recuperable para las personas trabajadoras por cuenta ajena que no presten servicios esenciales con el fin de reducir la movilidad de la población en el contexto de la lucha contra el COVID 19, norma que estaba vigente en la fecha que ocurrieron los hechos, pero que, sin embargo, como llama la atención la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/60 reclamada, no resulta aplicable a los trabajadores por cuenta ajena que “trabajan en las actividades que participan en la cadena de abastecimiento del mercado y en el funcionamiento de los servicios de los centros de producción de bienes y servicios de primera necesidad, incluyendo alimentos, […]”. Con idéntico propósito descriptivo de la situación que rodeó a su conducta, informa de las bajas laborales por COVID 19 que se produjeron en la empresa entre marzo de 2020 y enero de 2022 -90 bajas y 1.342 días de baja acumulados en ese periodo- y de las pruebas de detección del COVID19 realizadas a su plantilla -más de 600 test de antígenos y PCR a las personas trabajadoras de sus centros-, todo ello, dice, “con la finalidad de garantizar la seguridad y permitir la continuidad de un servicio esencial como es la alimentación” “cumpliendo en todo momento con la normativa en materia de prevención de riesgos laborales, la normativa en materia de protección de datos, así como las indicaciones de las autoridades sanitarias”. Tomando en consideración “la especial circunstancia en la que nos encontrábamos en el momento que se realizó el envío del correo electrónico” -que se produjo pocos días después de la finalización del estado de alarma- y la particular condición de la empresa reclamada -“empresa del sector alimentario, una actividad esencial y presencial”- la reclamada llega a la conclusión, y así lo afirma, de que debía “adoptar las máximas medidas de seguridad y vigilancia de salud de sus empleados para garantizar el suministro y abastecimiento de alimentos de la población.” Que “debió adoptar actuaciones concretas que dotaran de mayor seguridad el entorno laboral y facilitara una adecuada gestión de la afección por COVID-19 en sus centros de trabajo.” - En su alegación segunda - “El tratamiento de los datos relativos al estado vacunal de las personas trabajadora en el marco de una emergencia sanitaria”- la parte reclamada alega que el tratamiento de los datos de vacunación que ha dado origen a este expediente sancionador está amparado en la excepción del artículo 9.2.
b)del RGPD en conexión con el artículo 14 de la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales (LPRL). Argumenta en apoyo de tal afirmación: (
i)Los Considerandos 46 y 52 del RGPD. El Considerando 46 del RGPD dice: “Ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado, como por ejemplo cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano” (El subrayado es de la parte reclamada). El Considerando 52 del RGPD señala que: “Asimismo deben autorizarse excepciones a la prohibición de tratar categorías especiales de datos personales cuando lo establezca el Derecho de la Unión o de los Estados miembros y siempre que se den las garantías apropiadas, a fin de proteger datos personales y otros derechos fundamentales, cuando sea en interés público, en particular el tratamiento de datos personales en el ámbito de la legislación laboral, la legislación sobre protección social, incluidas las pensiones y con fines de seguridad, supervisión y alerta sanitaria, la prevención o control de enfermedades transmisibles y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/60 otras amenazas graves para la salud. Tal excepción es posible para fines en el ámbito de la salud, incluidas la sanidad pública y la gestión de los servicios de asistencia sanitaria […]” (El subrayado es de la parte reclamada). De lo que RUBIATO concluye: “Teniendo en cuenta las mencionadas disposiciones relativas a la necesidad del tratamiento de datos especialmente protegidos en situaciones de emergencias humanitarias, así como en el ámbito de la legislación laboral con fines de seguridad, supervisión y alerta sanitaria para la prevención o control de enfermedades transmisibles y otras amenazas graves para la salud, y a tenor de lo dispuesto en el artículo 9.2.
b)del RGPD, la prohibición del tratamiento de datos especialmente protegidos como la salud se levantaría en el supuesto de que el tratamiento sea necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social.” (El subrayado es nuestro) (
ii)Considera que el tratamiento realizado se funda en el artículo 9.2.
b)del RGPD en conexión con la la LPRL, en particular en su artículo 14. A propósito de este precepto dice: Que el “artículo 14.1 establece que “los trabajadores tienen derecho a una protección eficaz en materia de seguridad y salud en el trabajo”. Que, “en cumplimiento del deber de protección, el segundo apartado de dicho precepto indica que el empresario debe garantizar “la seguridad y la salud de los trabajadores a su servicio en todos los aspectos relacionados con el trabajo. A estos efectos, en el marco de sus responsabilidades, el empresario realizará “la prevención de los riesgos laborales mediante la integración de la actividad preventiva en la empresa y la adopción de cuantas medidas sean necesarias para la protección de la seguridad y la salud de los trabajadores, con las especialidades que se recogen en los artículos siguientes en materia de plan de prevención de riesgos laborales, evaluación de riesgos, información, consulta y participación y formación de los trabajadores, actuación en casos de emergencia y de riesgo grave e inminente, vigilancia de la salud, y mediante la constitución de una organización y de los medios necesarios […]” (El subrayado es nuestro). Añade que el artículo 14 de la LPRL establece que el empresario “desarrollará una acción permanente de seguimiento de la actividad preventiva con el fin de perfeccionar de manera continua las actividades de identificación, evaluación y control de los riesgos que no se hayan podido evitar y los niveles de protección existentes y dispondrá lo necesario para la adaptación de las medidas de prevención señaladas en el párrafo anterior a las modificaciones que puedan experimentar las circunstancias que incidan en la realización del trabajo” (El subrayado es nuestro). Y concluye que, “teniendo en cuenta las indicaciones del Ministerio de Sanidad en su “Procedimiento de actuación para los Servicios de Prevención de Riesgos Laborales frente a la exposición al Sars-CoV-2”, […], se consideró adecuado el envío de un correo electrónico al personal de la empresa con la finalidad de reforzar la gestión de la vulnerabilidad y el riesgo de las personas trabajadoras, asegurando el derecho a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/60 protección de la salud del personal y garantizando la adopción de las medidas adecuadas que permitieran una correcta coordinación y manejo de los contactos y casos sospechosos.” Insiste en que la “única finalidad […] era la de garantizar la seguridad de su personal mediante el nivel de inmunidad de su plantilla, así como de los centros de trabajo que, recordemos, pertenece al sector esencial de la alimentación, siempre siguiendo las recomendaciones e instrucciones marcadas por las autoridades sanitarias.” -En su alegación tercera –“La licitud del tratamiento de datos de vacunación”manifiesta que el tratamiento era lícito y estaba amparado en el artículo 6.1.
c)del RGPD, en cumplimiento de la obligación legal que impone al responsable del tratamiento la LPRL. Insiste en que, en “el contexto de la situación descrita, la necesidad de proteger la seguridad del personal […] y reorganizar la plantilla de manera que permitiera la continuidad de los procesos de producción, y dentro de las medidas en materia de Prevención de Riesgos Laborales adoptadas por RUBIATO PAREDES, en el momento en el que se envió el correo electrónico que ha originado el presente procedimiento sancionador se consideró necesario que el área de Prevención de Riesgos Laborales de RUBIATO PAREDES consultara los datos de vacunación de las personas trabajadoras de sus centros de trabajo.” (El subrayado es nuestro) Añade que “en el momento del envío del correo electrónico no se contaba con indicaciones claras por parte de los organismos competentes más allá de los criterios marcados por el Ministerio de Sanidad en su “Procedimiento de actuación para los Servicios de Prevención de Riesgos Laborales frente a la exposición al Sars-CoV-2”, ni con un procedimiento establecido respecto al tratamiento de datos de vacunación por parte de las empresas.” (El subrayado es nuestro) Considera “Especialmente relevante […] el pronunciamiento de la AEPD respecto al tratamiento de datos de vacunación de los empleados por parte de las empresas. En este sentido, la AEPD en su página web de “Preguntas frecuentes”, apartado “16.1. CORONAVIRUS” - “Certificado de vacunación y pasaporte COVID en las relaciones laborales”, marca el siguiente criterio: <<En la crisis sanitaria ocasionada por la COVID-19, la actuación a seguir por las empresas deberá estar en concordancia con las instrucciones dictadas por las autoridades sanitarias. Teniendo en cuenta que, la vacunación es voluntaria y que las empresas de manera autónoma, no la pueden exigir, sí podrían recomendar expresamente a sus empleados la vacunación, además de insistir en el cumplimiento de todas las medidas de protección (mascarilla, distancia, higiene, etc.), dado que tienen la obligación de garantizar la salud y seguridad en todos sus centros de trabajo. Bajo los protocolos establecidos por las autoridades sanitarias o en su caso, por los servicios de prevención de riesgos laborales y siempre a través de los profesionales sanitarios de este servicio, a los efectos de reorganización de plantillas para la gestión de la vulnerabilidad y el riesgo de las personas trabajadoras en sus puestos de trabajo, podrían estar legitimados para realizar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/60 cuestionarios de vacunación sobre COVID-19, con la única finalidad de garantizar la seguridad en los centros de trabajo y, en su caso, diseñar actuaciones concretas para las personas trabajadoras que comuniquen a la empresa si han iniciado su vacunación o tienen la pauta completa. Todo ello sin que suponga una medida discriminatoria en detrimento de los derechos fundamentales a la privacidad y a la protección de los datos personales. En todo caso, los tratamientos de datos personales en estas situaciones de emergencia sanitaria deberán ser tratados de conformidad con la normativa de protección de datos personales (RGPD y LOPDGDD), por lo que se aplican todos sus principios contenidos en el artículo 5 RGPD>> (El subrayado es nuestro) La reclamada, a la vista del fragmento transcrito, que procede de la información obtenida de la página web de la AEPD, “Preguntas frecuentes”, apartado “16.1. CORONAVIRUS”, hace estas consideraciones: (
i)Que “el primer criterio que establece la AEPD es que la actuación de la empresa en el marco de la emergencia sanitaria deberá estar en concordancia con las instrucciones dictadas por las autoridades sanitarias.” Y afirma a continuación que ha seguido en todo momento las indicaciones de las autoridades sanitarias competentes, “cuya interpretación” le ha llevado a “considerar necesario” “la consulta del estado vacunal de su personal” “para la correcta gestión de la afección por COVID-19 en los centros de trabajo y, sobre todo, para garantizar la protección de las salud de las personas trabajadoras”. Que es “en estos criterios e interpretación de la normativa en materia de prevención de riesgos laborales” “en los que se basa para considerar adecuado la consulta, por parte del área de Prevención de Riesgos Labores, de los datos de vacunación de las personas trabajadoras,”. Dice que “la falta de información por parte de los organismos competentes y la excepcionalidad del momento así lo requería para garantizar la seguridad en los centros de trabajo de RUBIATO PAREDES.” (
ii)Que “la propia AEPD reconoce que las empresas pueden estar legitimadas para conocer los datos de vacunación sobre COVID-19 de sus personas trabajadores, cuando la finalidad sea la de garantizar la seguridad en los centros de trabajo, así como diseñar actuaciones concretas para que las personas trabajadoras comuniquen a la empresa si han iniciado su vacunación o tienen la pauta completa.” (El subrayado es nuestro) (iii) Que ha seguido “en todo momento lo indicado por la propia AEPD en el texto transcrito.” (
iv)Reconoce que “el correo electrónico controvertido se envió en unos términos erróneos, adoleciendo de la información necesaria en materia de protección de datos ocasionado […] por una falta de previsión y consulta al responsable de protección de datos de la empresa […]”, pero añade que “la actuación controvertida se realizó de buena fe por parte de la persona trabajadora de RUBIATO PAREDES que envió el correo electrónico.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/60 Y reitera “que los términos empleados en el correo electrónico no eran los adecuados, debido a que el redactado del correo electrónico no refleja adecuadamente el propósito y tratamiento que se realizaría de los datos comunicados”, si bien “la finalidad que pretendía [...] con la consulta de esta información se limitaba […]a los efectos de reorganización de la plantilla para garantizar la protección tanto de la salud laboral como de la seguridad de los centros de trabajo de RUBIATO PAREDES.” Destaca que la persona que envió el correo electrónico de consulta al personal, Dña. [B.B.B.] “tiene conocimientos en materia de Prevención de Riesgos Laborales”. Aporta en prueba, documento número 2, el certificado expedido a su nombre que acredita la formación en el Programa Superior en Prevención de Riesgos Laborales. Y concluye: Que “considerando que el tratamiento de los datos de salud relativos al estado vacunal de las personas trabajadoras de RUBIATO PAREDES se encuentra legitimado por la excepción del artículo 9.2.
b)del RGPD, […] entiende que el tratamiento realizado se considera lícito por cuanto concurre la condición del artículo 6.1.
c)del RGPD, es decir, que el tratamiento de los datos de vacunación era necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, en concreto, de la Ley 31/1995.” Finaliza sus exposición reiterando la situación de “excepcional emergencia sanitaria en la que nos encontrábamos en el momento en que se envió el correo electrónico[…], así como a la especial condición de […] empresa dedicada a un sector esencial y presencial se consideró necesario consultar desde el área de Prevención de Riesgos Laborales el estado vacunal de su personal, así como conocer a niveles estadísticos desde la empresa el estado de inmunidad de la plantilla, […] Todo ello, de cara a proteger la salud laboral de sus personas trabajadoras y la reorganización de la plantilla de la empresa.” (El subrayado es nuestro) -En la alegación cuarta, bajo la rúbrica “Consentimiento válido de las personas trabajadoras para el tratamiento de los datos”, expone: Con carácter subsidiario, para el caso de que la AEPD no aprecie las circunstancias que permiten “levantar la prohibición del tratamiento de los datos especialmente protegidos, así como de la licitud del tratamiento”, alega que el tratamiento efectuado sería en todo caso lícito ya que estaba amparado en el consentimiento expreso y libre de los empleados. Sobre ese extremo, afirma que los trabajadores facilitaron los datos de vacunación a RUBIATO de forma expresa y libre, lo que a su entender se acredita porque en el correo electrónico enviado no se indicaba que fuera obligatorio informar de su estado vacunal, ni tal interpretación puede extraerse de la lectura del correo controvertido que envió. La reclamada dice a ese respecto: “que en el presente caso […] los datos de vacunación fueron facilitados de forma expresa y libre por parte de los trabajadores de RUBIATO PAREDES. Y esto es así debido a que en el momento en el que se solicita los datos mediante el correo electrónico controvertido, en ningún momento se indica desde RUBIATO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/60 PAREDES que la solicitud tenga carácter obligatorio ni se desprende de su lectura esa interpretación. De haber sido esa la intención de RUBIATO PAREDES, se hubiera indicado expresamente en el correo electrónico remitido con fecha 07/06/2021 el carácter obligatorio de la solicitud y las consecuencias que tendría para las personas trabajadoras el hecho de no proporcionar los datos. Además, es importante destacar que en ningún momento se realizó un envío posterior reiterando la solicitud de información, únicamente se remitió desde la dirección de correo electrónico de ***EMAIL.1 el correo de subsanación de información con fecha 05/08/2021, que consta en el presente expediente, lo que nuevamente muestra la buena fe en la actuación de RUBIATO PAREDES.” (El subrayado es nuestro) Añade que “el correo electrónico de solicitud de información enviado el día 07/06/2021 se realiza en un tono informal y, en ningún caso, con carácter ni indicios de ser obligatorio” por lo que “el consentimiento prestado por parte de las trabajadoras de RUBIATO PAREDES debe entenderse como válido.” Y, si bien reconoce que el correo electrónico que dirigió a la plantilla de los trabajadores contenía “términos erróneos” y no reflejaba adecuadamente “el propósito y tratamiento que se realizaría de los datos comunicados”, afirma que “no puede interpretarse que la solicitud era obligatoria para las personas trabajadoras”, ya que, de haber sido así “habría realizado un comunicado expreso en ese sentido indicando los términos obligatorios de la solicitud así como las consecuencias que tendrían para el trabajador no contestar a la comunicación.” Anexa a sus alegaciones estos documentos: -Número 1: Escrito firmado el 20/12/2018 por D. C.C.C., en representación de CEGECO y por D. D.D.D., en representación de DPO&iltaw. S.L., en el que se designa a este último “como Delegado de Protección de Datos Externo de dicha organización”. -Número 2: Certificado de Bureau Veritas Business School, de fecha 5/11/2020, a favor de Doña B.B.B. acreditativo de que ha “superado las enseñanzas conducentes al Título de Programa Superior en Prevención de Riesgos Laborales”. SEXTO: Fase de prueba. En fecha 04/01/2023 la instructora del procedimiento acuerda la apertura de una fase de prueba y la práctica de las siguientes diligencias probatorias: 1.Dar por reproducida la reclamación interpuesta por la reclamante y su documentación anexa, así como los documentos generados y obtenidos por la Subdirección de Inspección de Datos de la AEPD durante la admisión a trámite de la reclamación. 2.Dar por reproducidas las alegaciones al acuerdo de inicio del procedimiento sancionador presentadas la parte reclamada y la documentación anexa a ellas. 3. Solicitar a la reclamada que remita a la AEPD, la información y la documentación siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/60 3.1. Que informe, acreditando documentalmente su respuesta, del número de trabajadores que integraban la plantilla de RUBIATO PAREDES, S.L., en las fechas previas a la primera declaración del estado de alarma acordada por el Gobierno mediante el Real Decreto 463/2020, de 15 de marzo. 3.2. Que informe, acreditando documentalmente su respuesta, de cuál era el número de centros de trabajo con los que contaba en fechas previas a la declaración del estado de alarma antes mencionado. 3.3. Que informe, acreditando documentalmente su respuesta, cuál fue la cifra de negocio global anual de RUBIATO PAREDES, S.L., en el ejercicio 2020. 3.4. Que informe, acreditando documentalmente su respuesta, cuál fue la cifra de negocio global anual de grupo Vall Companys, al que pertenece RUBIATO PAREDES, S.L., en el ejercicio 2020. 3.5. Que informe de cuál fue el modelo de organización de las actividades preventivas que RUBIATO PAREDES, S.L., tenía implementado en la fecha anterior a la declaración del primer estado de alarma, a tenor del artículo 10 del Real Decreto 39/1997, de 17 de enero, por el que se aprueba el Reglamento de los Servicios de Prevención, cuya última modificación es de fecha 10/10/2015. Habida cuenta de que no parece que tuvieran cabida en este caso los supuestos descritos en los apartados
a)y
b)del artículo 10.1 del citado Real Decreto, dado el tamaño de la empresa, se requiere que informe si contaba con un servicio de prevención propio o si había recurrido a un servicio de prevención ajeno (letras
c)y
d)del artículo 10.1 del Real Decreto 39/1997) No obstante, si la parte reclamada tuviera implementado alguno de los sistemas descritos en las letras
a)y
b)del artículo 10.1 del citado Real Decreto -esto es, si hubiera asumido personalmente la actividad de prevención o hubiera designado a uno o varios trabajadores para llevarla a cabo-, deberá justificar la procedencia de estas opciones de conformidad con lo dispuesto en los artículos 11.1, 12.1 y 13 del Real Decreto 39/1997 por el que se aprueba el Reglamento de los Servicios de Prevención. 3.6. En función de la respuesta que ofrezca a la información solicitada en el punto 3.5., deberá aportar copia de los documentos siguientes: (i)Si el servicio de prevención lo tenía concertado con una tercera entidad, deberá facilitar los datos de la empresa con la que contrató y una copia del contrato suscrito con ella y que estuviera vigente en junio de 2021. (ii)Si hubiera recurrido a prestar el servicio de prevención a través de la constitución de su propio servicio, deberá aportar la memoria y programación anual del servicio de prevención a que se refiere el párrafo
d)del apartado 2 del artículo 39 de la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales. 3.7. Que facilite una descripción del organigrama de la empresa RUBIATO PAREDES, S.L., en junio de 2021, detallando las funciones atribuidas a cada área, servicio o departamento de la empresa. Esa información general deberá hacer referencia al Departamento de “Desarrollo y Gestión de Personas” y describir las funciones que tenía atribuidas. En relación con el Departamento de “Desarrollo y Gestión de Personas” deberá informar de quienes eran los trabajadores que desempeñaban sus funciones en él el 07/06/2021 y de las funciones encomendadas, en particular, a la trabajadora Doña B.B.B. Además, respecto a esta trabajadora, deberá remitir una copia del contrato de trabajo que le vinculaba con RUBIATO PAREDES. 3.8. Que informe del tratamiento que actualmente realiza de los datos relativos al estado vacunal de los trabajadores que recogió a raíz del correo electrónico que les envió en fecha 07/06/2021, en particular se solicita que indique si tales datos han sido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/60 o no suprimidos. En caso afirmativo, deberá informar de la fecha de la supresión y acreditar documentalmente ese extremo. 3.9. Que informe de cuál es la norma con rango formal de ley en la que esa parte reclamada funda la licitud del tratamiento de los datos de salud de los trabajadores relativo a su estado vacunal. SÉPTIMO: Respuesta de la reclamada a las pruebas solicitadas. La reclamada responde a las pruebas en escrito de fecha 19/01/2023 en el que manifiesta lo siguiente: - Punto 3.1., sobre el número de trabajadores que integraban la plantilla antes de la primera declaración del estado de alarma: Informa que cuenta con tres centros de trabajo que, a fecha 1/03/2020, tenían la siguiente plantilla: Alcorcón, 96 empleados; Guadalajara, 56 y Tenerife, 4. El total de trabajadores es de 156. Aporta como anexo 1 “los informes de plantilla media de trabajadores en situación de alta de la Tesorería General de la Seguridad Social, emitidos a fecha 04-01-2023 para cada uno de los centros de trabajo.” - Punto 3.2., información sobre el número de centros de trabajo con los que contaba en fechas previas a la declaración del estado de alarma: Responde que aporta, anexo 2, “las resoluciones de asignación de código de cuentas de cotización de la Tesorería General de la Seguridad Social de los tres centros de trabajo con los que cuenta RUBIATO PAREDES, S.L.: Alcorcón, Guadalajara y Tenerife.” - Punto 3.3., sobre información, acreditada documentalmente, de la cifra de negocio global anual de RUBIATO en el ejercicio 2020: Responde que el valor de la cifra de negocios durante el ejercicio 2020 fue de “32,51 millones de euros” y aporta, anexo 3, “la cifra de negocios de las cuentas anuales de RUBIATO PAREDES, S.L. correspondiente al ejercicio 2020.” -Punto 3.4., sobre la información, acreditada documentalmente, de la cifra de negocio global anual de grupo Vall Companys, al que pertenece la reclamada, en el ejercicio 2020: Responde que aporta, como anexo 4, un documento con la cifra de negocio de las cuentas anuales del Grupo Vall Companys, al que pertenece RUBIATO PAREDES, S.L., correspondiente al ejercicio 2020. El valor de la cifra neta de negocios durante el ejercicio 2020 fue de 2.188 millones de euros. - Punto 3.5., sobre el modelo de organización de las actividades preventivas que RUBIATO PAREDES, S.L., tenía implementado en la fecha anterior a la declaración del primer estado de alarma, a tenor del artículo 10 del Real Decreto 39/1997, de 17 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/60 de enero, por el que se aprueba el Reglamento de los Servicios de Prevención (RPRL): Manifiesta que cuenta, en todos sus centros de trabajo, con el servicio de prevención ajeno PREVENACTIVA, S.L.U. -Punto 3.6., sobre la petición de que aporte los datos identificativos de la empresa con la que contrató y una copia del contrato suscrito con ella que estuviera vigente en junio de 2021: Aporta un contrato celebrado con DEYRE PREVENCIÓN, S.L.U., (DEYRE) el 26/05/2015. En su cláusula decimocuarta se establece como fecha de entrada en vigor el momento en que la empresa contratante proceda al pago del primer plazo de los pactados en el contrato.  La cláusula segunda del contrato entre RUBIATO y DEYRE estipula que, conforme al Real Decreto 39/97, la empresa (RUBIATO) concierta la actividad preventiva con DEYRE entre otras especialidades en “Medicina del Trabajo”.  La cláusula séptima indica que, respecto a la “vigilancia de la salud de los trabajadores” DEYRE “conservará toda la documentación que generen los reconocimientos realizados a los trabajadores, la cual cosa no impide que la empresa contratante reciba la información a la cual legalmente tiene derecho de acuerdo con el artículo 22 de la Ley de Prevención de Riesgos Laborales 31/95”. “El contenido de los reconocimientos médicos y otras declaraciones relativas a la seguridad de los trabajadores tendrá carácter confidencial, estando sujetas las personas que lo consulten, al deber de secreto profesional.” (El subrayado es nuestro)  La cláusula duodécima indica que, respecto a los servicios de “vigilancia de la salud de la especialidad medicina en el trabajo” que sean contratados a DEYRE, conforme al artículo 22 de la LPRL, DEYRE “asumirá la condición de responsable de tratamiento y, por lo tanto, será Responsable de los datos de salud resultantes de estos servicios”. Y añade que, “Respecto a los servicios o especialidades que no sean considerados como vigilancia de la salud y sean contratados en virtud del presente contrato” DEYRE “asumirá la condición de encargado de tratamiento”. “En los supuestos en los que la empresa contratante se constituya como un servicio de prevención propio o mancomunado, y en virtud del artículo 9 del Real Decreto 843/2011 decida contratar con DEYRE PREVENCIÓN, S.L.U., los reconocimientos de vigilancia de la salud, [DEYRE] se configurará como encargado de tratamiento”. El Anexo I al contrato detalla qué actuaciones han sido contratadas con DEYRE. Dice que “Las actividades a realizar incluidas en la cuota (según Anexo III) son:” generales; especialidad seguridad en el trabajo; especialidad higiene industrial; especialidad ergonomía y psicología aplicada y especialidad medicina del trabajo. Cada uno de esos apartados o especialidades se desglosan en distintos puntos. Por lo que respecta a la especialidad de medicina del trabajo, se incluyen entre las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/60 actuaciones contratadas distintos tipos de revisiones médicas, “la vigilancia periódica de la salud”, “el control de resultados con criterios epidemiológicos”, “informes correspondientes a la vigilancia de la salud o la valoración de riesgos para la salud a trabajadores especialmente sensibles a determinados riesgos”. Se aporta el documento denominado “1ª Adenda al contrato para la prestación del servicio de prevención ajeno en las especialidades de Seguridad en el Trabajo, Higiene Industrial, Ergonomía y Psicología aplicada por parte de” DEYRE, “que entró en vigor con fecha 26/05/2015”. El expositivo I de la “1ª Adenda al contrato” dice que el contrato suscrito con RUBIATO para la “prestación del servicio de prevención ajeno”, entró en vigor el 1/01/2016. Con la misma fecha -dice el expositivo II- se llevó a cabo la fusión por absorción entre DEYRE y PREVENACTIVA, S.L.U., siendo esta última la entidad absorbente. Se indica en el expositivo III que PREVENACTIVA, S.L.U., queda subrogada en el contrato de prestación de servicios de prevención de riesgos laborales suscrito entre RUBIATO y DEYRE “respetando en todo caso, la naturaleza, vigencia y condiciones del mismo”. -Punto 3.7., responde a la solicitud de que facilite una descripción del organigrama de la empresa en junio de 2021 que detalle las funciones atribuidas a cada área, servicio o departamento de la empresa, haciendo referencia especial al Departamento de “Desarrollo y Gestión de Personas”, describiendo las funciones que tenía atribuidas, indicando quiénes eran los trabajadores que desempeñaban sus funciones en él el 07/06/2021 y las funciones encomendadas, en particular, a la trabajadora Doña B.B.B.. Se solicitaba, además, una copia del contrato de trabajo que vinculaba a esta trabajadora con la entidad reclamada. La reclamada responde aportando dos esquemas con el organigrama de la empresa:  En el primer documento no consta ninguna fecha y en él se refleja que, dependiendo de la “Gerencia”, hay seis departamentos: “Responsable de calidad”, “Financiero”, “Director de producción”, “Director de ventas”, “Dirección de compras” y “RRHH”. Debajo de este último figura el nombre de X.X.  En el segundo documento consta la indicación “2021/2022”. De la Gerencia cuelgan ahora los mismos seis departamentos, pero con una salvedad: el denominado en el primer documento “RRHH” pasa a ser “RRHH Y PRL”. Se describen las funciones encomendadas a cada departamento y, respecto a PRL, se indica: “(COORDINDADOR PRL XXXXXXXX)”. Constan las siguientes funciones: “Coordinación y Gestión de todo lo referente en materia de PRL. Coordinación formación de PRL a los trabajadores. Coordinación y Gestión con mantenimiento cualquier tipo de anomalía detectada que sea necesario reparar con vistas a las plantas en materia de detección de mejoras. Coordinar con el servicio de PRL ajeno, así como con central estudios y toma de medidas para mejorar los índices y reducir accidentabilidad. Coordinación y gestión accidentes de trabajo con mutua, Investigaciones y coordinación. Coordinación y gestión alimentación de los ficheros de control interno en materia de PRL.” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/60 La reclamada aporta un documento con el anagrama de RUBIATO denominado “Nombramiento coordinador PRL XXXXXXXXX”, firmado el 4/05/2020. En el cuerpo del escrito consta que RUBIATO “contrata los servicios de SP ACTIVA”, entidad acreditada por el Departamento de Trabajo de la Generalitat de Cataluña, como servicio de prevención ajeno (SPA) “y tendrá la colaboración de la persona nombrada en este acta, que actuará de enlace entre la empresa y el SPA. Por tanto, de conformidad con la ley, y con efectos desde el 4 de mayo de 2020, asume este nombramiento Dña. [X.X.X..]” (El subrayado es nuestro) Se aporta la copia del contrato de trabajo por tiempo indefinido celebrado entre X.X.X.. y RUBIATO, firmado por la trabajadora el 1/05/2020, en el que se estipula que prestará sus servicios como “TÉCNICO/A DyG PERSONAS”. -Punto 3.8., sobre el tratamiento que actualmente hace de los datos relativos al estado vacunal de los trabajadores recogidos a raíz del correo electrónico que les envió en fecha 07/06/2021, en particular que informe de si tales datos han sido o no suprimidos con la indicación de la fecha en su caso y acreditación documental: Responde que los datos del estado vacunal han sido suprimidos con fecha 31/01/2022. Manifiesta que aporta como Anexo 7, “pantallazo del sistema de información de la carpeta de Sharepoint con acceso limitado y exclusivo a [X.X.X.] en donde se certifica la fecha del último acceso realizado por la coordinadora de PRL a la hoja excell “VACUNADOS RUBIATO PAREDES”, momento en el cual se produce la supresión de los datos por dejar de ser útiles para la finalidad en la que fueron recabados, es decir la de garantizar la seguridad de su personal mediante el conocimiento del nivel de inmunidad de su plantilla.” Declara que tal supresión, “ha supuesto el bloqueo de los datos de carácter personal, permaneciendo a disposición de las administración pública, jueces y tribunales para la atención y defensa de las posibles responsabilidades nacidas del tratamiento por el plazo de prescripción de éstas últimas.” (El subrayado es nuestro) El documento en cuestión que la reclamada remite a la AEPD es una captura de pantalla obtenida en fecha 18/01/2023. En ella se puede comprobar que en la carpeta “RRHH” aparecen diversas subcarpetas y documentos. Uno de esos documentos, en formato Excell, es el denominado “VACUNADOS COVID RUBIATO PAREDES”. Consta “Modificado” el “31/01/2022” y “Modificado por” X.X.X. -Punto 3.9., sobre la norma con rango formal de ley en la que funda la licitud del tratamiento de los datos de salud de los trabajadores relativo a su estado vacunal: Responde que el tratamiento de los datos de salud relativos al estado vacunal de las personas trabajadoras de RUBIATO PAREDES S.L. está legitimado por la excepción del artículo 9.2.
b)del RGPD: “el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/60 o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado”. “Así mismo consideramos aplicables los considerandos 46 y 52 del RGPD” “Esta parte entiende, que la prohibición del tratamiento de datos especialmente protegidos como la salud se levantaría en el supuesto de que el tratamiento sea necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, con fines de seguridad, supervisión y alerta sanitaria para la prevención o control de enfermedades transmisibles y otras amenazas graves para la salud. Por tanto el tratamiento realizado se considera lícito por cuanto concurre la condición del artículo 6.1.
c)del RGPD, en relación con la Ley 31/1995, de 8 de noviembre, de prevención de Riesgos Laborales (en adelante, Ley 31/1995) constituyen el fundamento del tratamiento de los datos de vacunación que realiza RUBIATO PAREDES.” (El subrayado es nuestro) OCTAVO: Propuesta de resolución. Notificación a la parte reclamada. En fecha 16/02/2023 la instructora del procedimiento firma la propuesta de resolución que se dicta en estos términos: << PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a RUBIATO PAREDES, S.L., con NIF B85227635: 1.Por una infracción del artículo 9 del RGPD, tipificada en el artículo 83.5.
a)del RGPD, con una multa de 20.000€ (veinte mil euros) 2.Por una infracción del artículo 6.1. del RGPD tipificada en el artículo 83.5.
a)del RGPD, con una multa de 10.000€ (diez mil euros) SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se acuerde la adopción por RUBIATO PAREDES, S.L., con NIF B85227635, de la medida correctiva.>> Se acompañó a la propuesta, como anexo, una relación de los documentos que obran en el procedimiento. La propuesta de resolución se notificó electrónicamente a la parte reclamada, siendo la fecha de puesta a disposición del 16/02/2023 y la fecha de aceptación de la notificación el 17/02/2023. NOVENO: Alegaciones de la parte reclamada a la propuesta de resolución. En fecha 02/03/2023 RUBIATO presenta sus alegaciones a la propuesta de resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/60 Solicita que se acuerde el archivo del procedimiento sancionador. Subsidiariamente, que se tengan en cuenta como atenuantes de la sanción a imponer, conforme a lo dispuesto en el artículo 83.2 del RGPD: (
i)la excepcionalidad de la situación en la que se produjeron los hechos; (ii)la falta de información e incertidumbre ocasionada por la emergencia sanitaria; (iii) el carácter esencial de la actividad desarrollada por RUBIATO PAREDES; (
iv)así como la legitimación de las empresas para el tratamiento de los datos de vacunación de sus personas trabajadoras para las finalidades indicadas anteriormente. Alega en defensa de sus respectivas pretensiones estos argumentos: 1.- Su primera alegación versa sobre “la excepcionalidad del tratamiento de datos por parte de la Coordinadora de Prevención de Riesgos Laborales”. Comienza recordando el carácter esencial del sector alimentario durante la pandemia y cómo la actividad de RUBIATO estuvo encaminada a garantizar el abastecimiento y suministro de alimentos, lo que hacía esencial “garantizar el entorno laboral con las máximas garantías sanitarias”. Tras lo cual declara: - Que el correo electrónico controvertido se envió “de forma puntual en el marco de la crisis sanitaria”. -Que en el contexto en el que se envió “eran muchas las dudas sobre cuál era el procedimiento que debían seguir las empresas respecto al tratamiento de datos personales relativos a la salud”. -Que el empresario está legitimado para tratar determinados datos de salud de las personas trabajadoras. Menciona el artículo 22.4 de la LPRL y dice seguidamente que “por tanto la coordinadora de PRL, se encuentra legitimada por la LPRL, sin tener la condición de personal médico para conocer determinados datos de salud de las personas trabajadoras, como puede ser el APTO, NO APTO, la baja laboral por Accidente de Trabajo o Enfermedad Profesional o si por ejemplo es una persona con discapacidad. Todos estos datos se consideran especialmente protegidos, y por tanto datos de salud, y el acceso a los mismos es necesario para mejorar las medidas de protección y prevención en materia de Prevención de Riesgos Laborales.” (El subrayado es nuestro) -Que “respecto al tratamiento de datos relativos a la infección por coronavirus, la AEPD establecía en dicho documento de preguntas y respuestas que “la empresa podrá conocer si la persona trabajadora está infectada o no, para diseñar a través de su servicio de prevención los planes de contingencia que sean necesarios, o que hayan sido previstos por las autoridades sanitarias”. De esta forma, se extendió el ámbito del conocimiento por parte del empresario respecto a los datos de salud de las personas trabajadoras, y se permitió al empresario conocer la información respecto a la afección o no por coronavirus a efectos de adoptar y aplicar correctamente las medidas sanitarias y de seguridad necesarias.” Conectada con su anterior afirmación dice: “En el mismo sentido, desde RUBIATO PAREDES se consideró, en el contexto sanitario excepcional en el que nos encontrábamos, que el tratamiento de datos relativo al estado de vacunación de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/60 personas trabajadoras era necesario a la hora de garantizar la salud colectiva de los trabajadores y adoptar las medidas necesarias, así como mejorar las ya existentes de protección y prevención, y que el conocimiento por parte de la coordinadora de prevención de riesgos laborales (que insistimos en que fue la única persona que tuvo conocimiento de esta información) se encuentra legitimado por la normativa en materia de prevención de riesgos laborales.” - Que la finalidad pretendida por RUBIATO “fue la de conocer el estado de inmunidad de la plantilla de sus centros de trabajo, de manera que pudieran valorarse adecuadamente la necesidad de mejorar las medidas de protección y prevención […]” -Que los datos se facilitaron de “forma totalmente voluntaria”. -Que únicamente los conoció la coordinadora de prevención de riesgos laborales. Que su conocimiento “no ha tenido ninguna consecuencia para las personas trabajadoras que pueda suponer una medida discriminatoria en el trabajo […] lo que refleja el carácter voluntario de la solicitud de esta información,” Y que esa información se ha utilizado internamente a efectos estadísticos y “de forma segregada ha sido tenida en cuenta para diseñar actuaciones en materia de prevención de riesgos laborales”. -Que el tratamiento estaba legitimado por la excepción del artículo 9.2.
b)del RGPD. Y que el tratamiento era lícito pues concurría la condición del artículo 6.1.
c)del RGPD, “el tratamiento de los datos de vacunación era necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, en concreto, de la LPRP” 2. La alegación segunda lleva por rúbrica “Reiteración del contexto de crisis sanitaria en el que se producen los hechos”. -Reitera el “carácter excepcional y de crisis sanitaria en la que nos encontrábamos en el momento que se produjo el envío del correo electrónico controvertido.” -Centra seguidamente sus alegaciones en una consideración hecha en un párrafo de la propuesta de resolución, Fundamento IV, que decía así: “Además, pese a ser una cuestión secundaria, cuando se envió el correo controvertido, el 7/06/2021, había transcurrido un mes desde que finalizó el segundo estado de alarma; la vacunación de la población estaba muy avanzada y la peor fase de la crisis sanitaria se había superado.” Al hilo de lo anterior, se hace una disertación sobre el nivel de vacunación de la población. En síntesis, se dice: “esta parte debe matizar que, según datos oficiales del Gobierno de España (https://www.vacunacovid.gob.es/), a partir del mes de junio de 2021, momento que coincide con el envío del correo electrónico controvertido (7/06/2021), comienza en España la tercera etapa de vacunación, en la que la vacuna se consideraba “ampliamente disponible””. “Hasta ese momento, es decir, antes del mes de junio de 2021, la vacunación únicamente se encontraba accesible para los considerados “grupos prioritarios”, […], entre los que no se encontraban la mayoría de las personas trabajadoras del sector alimentario.” Recuerda que será a partir de junio de 2021 cuando se inicien los llamamientos por grupos de edad para la primera dosis de vacunación. Concluye: “Por lo tanto, esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/60 parte no puede compartir con totalidad el criterio de la AEPD al considerar que la vacunación de la población estaba “muy avanzada” y “la peor fase de la crisis sanitaria se había superado”, puesto que nos encontrábamos en plena campaña de vacunación de la primera dosis de gran parte de la población en muchos casos.” -Que “Ante el comienzo de dicha campaña de vacunación, y en un sector estratégico y esencial como es el alimentario, se consideró relevante desde RUBIATO PAREDES contar con información estadística del nivel de vacunación de la plantilla con fines de seguridad y organización para proteger de forma simultánea y colectiva a los trabajadores expuestos a los riesgos que presentaba crisis sanitaria ocasionada por el COVID-19. Para ello, la coordinadora de prevención de riesgos laborales realizó la solicitud de información, insistimos que voluntaria, a través del correo electrónico controvertido. -Entre los motivos que RUBIATO menciona, por los cuales habría considerado necesario “solicitar de forma voluntaria a los trabajadores el estado de vacunación,” añade a los que citó en su primer escrito de alegaciones “las solicitudes del estado de vacunación a la empresa privada por las autoridades sanitarias de diferentes comunidades autónomas”. -Que pese a la prohibición general del artículo 9.1 del RGPD del tratamiento de datos relativos a la salud, considera que “el tratamiento de los datos de vacunación de las personas trabajadoras que ha originado el presente procedimiento sancionador se encuentra legitimado por la excepción prevista en el artículo 9.2.
b)del RGPD, y ello con base en los argumentos expuestos en el escrito de alegaciones al Acuerdo del procedimiento sancionador.” Que, como se indicaba en el correo enviado a la plantilla el 05/08/2021, “el tratamiento de datos especialmente protegidos, en este caso, los datos de salud relativos al estado vacunal de las personas trabajadoras de sus centros, en el contexto de la emergencia sanitaria en la que nos encontrábamos y especialmente por el carácter esencial de su actividad, se encuentra legitimada por la excepción prevista en el artículo 9.2.
b)del RGPD.” De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El reclamante, empleado de RUBIATO PAREDES, S.L., aporta copia de un correo electrónico que recibió el 7/06/2021, enviado desde la dirección ***EMAIL.1, firmado por B.B.B.) seguido de la indicación “Dpto. Desarrollo y Gestión de Personas”. En el encabezado del mensaje electrónico figura como “Asunto” “¿Te han vacunado (COVID) ya? Tienes cita para ello?”. El cuerpo del mensaje es el siguiente: “Quería pediros que cada uno, de manera individual, me indiquéis si está ya vacunado contra covid (primera dosis o proceso completado) Y si no lo estás si te han dado ya cita próxima para ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/60 Puedes hacerlo o bien respondiendo a este correo o por WhatsApp. El motivo de pediros esto es simplemente poder ir viendo la evolución de las vacunaciones en las empresas del grupo Valls Company, y además también, lógicamente, de manera interna en Rubiato. Esto nos facilita ir viendo el escenario que tenemos de cara a ir avanzando en la inmunidad de nuestros trabajadores. Si ya te han vacunado de alguna de las dosis, indícame día en que te han puesto la dosis. Y si tu vacuna es de una o de dos dosis. Si o te han vacunado todavía pero ya tiene mensaje con tu cita para ello. Indícame el día que te lo han programado. Si no te han vacunado y tampoco tienes mensaje, NO debes indicarme nada. Sí deberás hacerlo cuando más adelante te citen para ello. Si me respondes por correo es importante que en el correo me indiques tu nombre y apellidos y la información referente a la vacunación. Si lo haces por WhatsApp solo indícame tu situación de cara a la vacunación. Cualquier duda quedo a tu disposición. [...]” (El subrayado es nuestro) SEGUNDO: RUBIATO ha declarado en su respuesta al traslado de la reclamación que, fruto de la revisión y evaluación de su protocolo de actuación respecto de las medidas adoptadas para la recogida de los datos de vacunación de sus trabajadores, y a fin de subsanar la falta de información respecto al tratamiento de los datos de vacunación, envió a la plantilla un nuevo correo electrónico en fecha 5/08/2021 “desde la cuenta de correo electrónico corporativo ***EMAIL.1”. El segundo mensaje tenía el siguiente texto: <<En relación con el correo enviado el pasado 07/06/2021 en que se solicitaba información sobre la vacunación Covid, y ante las dudas que al respecto hayan surgido les informamos que: . Los datos de vacunación únicamente son conocidos por el personal del Área de Prevención de Riesgos Laborales . No se trata en ningún caso de una solicitud con carácter obligatorio, los empleados pueden facilitar la información sobre su estado de vacunación de forma totalmente voluntaria. . El conocimiento de los datos de vacunación no implica de ninguna manera un tratamiento diferenciado entre los trabajadores vacunados de aquellos que no lo han sido . Se incorpora la información necesaria sobre el tratamiento de los datos: -Finalidad del tratamiento: gestión PRL de la afección por Covid-19 -Legitimación: la relación laboral y el cumplimiento de una obligación legal -Ejercicio de derechos -Plazo de conservación de los datos: durante el tiempo necesario para la finalidad del tratamiento y, una vez finalizada la misma se mantendrá a disposición de la administración pública, jueces y tribunales durante el plazo previsto de prescripción de las acciones que resulten de aplicación al tratamiento de sus datos -Cesión de datos: los datos no serán cedidos a terceros, ni a las demás empresas del Grupo Valls Company -Derecho a reclamar ante la AEPD . El área de Prevención de Riesgos Laborales trasladará a la empresa los datos estadísticos del estado de inmunización en ningún caso la empresa tendrá C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/60 conocimiento ni podrá asociar los datos de vacunación con la identidad de los empleados de Rubiato Paredes.>> TERCERO: RUBIATO ha manifestado que los datos relativos al estado vacunal de los trabajadores recogidos a raíz del correo electrónico que envió a la plantilla el 7/06/2021, “han sido suprimidos con fecha 31/01/2022”. Y añade: “Dicha supresión, ha supuesto el bloqueo de los datos de carácter personal, permaneciendo a disposición de las administración pública, jueces y tribunales para la atención y defensa de las posibles responsabilidades nacidas del tratamiento por el plazo de prescripción de éstas últimas.” CUARTO: RUBIATO ha aportado con su respuesta a las pruebas practicadas -documento número 7- una captura de pantalla obtenida en fecha 18/01/2023 en la que se puede constatar que en la carpeta “RRHH” figuran diversas subcarpetas y documentos siendo uno de los documentos, en formato Excel, el que lleva por título “VACUNADOS COVID RUBIATO PAREDES”. Consta “Modificado” el “31/01/2022” y “Modificado por” B.B.B.. A propósito de este documento RUBIATO comenta que es un “pantallazo del sistema de información de la carpeta de Sharepoint con acceso limitado y exclusivo a[ B.B.B.], en donde se certifica la fecha del último acceso realizado por la coordinadora de PRL a la hoja excell “VACUNADOS RUBIATO PAREDES”, momento en el cual se produce la supresión de los datos por dejar de ser útiles para la finalidad en la que fueron recabados, es decir la de garantizar la seguridad de su personal mediante el conocimiento del nivel de inmunidad de su plantilla.” QUINTO: En respuesta a la pregunta acerca de cuál era la norma con rango formal de ley en la que funda la pretendida licitud del tratamiento de los datos de salud de los trabajadores relativo a su estado vacunal, RUBIATO responde: Por una parte, que “se encuentra legitimado por la excepción del artículo 9.2.
b)del RGPD” y añade “Así mismo consideramos aplicables los considerandos 46 y 52 del RGPD”. Aclara que “Esta parte entiende, que la prohibición del tratamiento de datos especialmente protegidos como la salud se levantaría en el supuesto de que el tratamiento sea necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, con fines de seguridad, supervisión y alerta sanitaria para la prevención o control de enfermedades transmisibles y otras amenazas graves para la salud.” Por otra parte, dice que “el tratamiento realizado se considera lícito por cuanto concurre la condición del artículo 6.1.
c)del RGPD, en relación con la Ley 31/1995, de 8 de noviembre, de prevención de Riesgos Laborales (en adelante, Ley 31/1995) constituyen el fundamento del tratamiento de los datos de vacunación que realiza RUBIATO PAREDES.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/60 SEXTO: Sobre el modelo de organización de la actividad preventiva que tenía implementado, a tenor del Reglamento de desarrollo de la LPRL (RLPRL) aprobado por el Real Decreto 39/1997, RUBIATO manifiesta que cuenta, en todos sus centros de trabajo, con el servicio de prevención ajeno PREVENACTIVA, S.L.U. Aporta la copia del contrato que celebró con DEYRE PREVENCIÓN, S.L.U. (DEYRE) el 26/05/2015. La empresa PREVENACTIVA, S.L.U., se subrogó en la posición jurídica de DEYRE en fecha 1/01/2016, como consecuencia de la fusión por absorción de esta última por la primera, especificando la 1ªAdenda al contrato que se subroga “respetando en todo caso, la naturaleza, vigencia y condiciones del mismo”. En el contrato celebrado con DEYRE se estipuló que, de acuerdo con el Real Decreto 39/97, RUBIATO concierta la actividad preventiva, entre otras especialidades, en “Medicina del Trabajo”. El Anexo I al contrato [se] detalla[n] qué actuaciones han sido contratadas con DEYRE y, por lo que respecta a la especialidad de medicina del trabajo, se incluyen entre las actuaciones contratadas distintos tipos de revisiones médicas, la vigilancia periódica de la salud, el control de resultados con criterios epidemiológicos, informes correspondientes a la vigilancia de la salud o la valoración de riesgos para la salud a trabajadores especialmente sensibles a determinados riesgos. Además, el contrato especifica -cláusula séptima- que, respecto a la “vigilancia de la salud de los trabajadores” DEYRE “conservará toda la documentación que generen los reconocimientos realizados a los trabajadores, la cual cosa no impide que la empresa contratante reciba la información a la cual legalmente tiene derecho de acuerdo con el artículo 22 de la Ley de Prevención de Riesgos Laborales 31/95”. “El contenido de los reconocimientos médicos y otras declaraciones relativas a la seguridad de los trabajadores tendrá carácter confidencial, estando sujetas las personas que lo consulten, al deber de secreto profesional.” SÉPTIMO: RUBIATO aporta un documento denominado “Nombramiento coordinador PRL XXXXXXXXX”, firmado el 4/05/2020. En el cuerpo del escrito consta que RUBIATO “contrata los servicios de SP ACTIVA”, entidad acreditada por el Departamento de Trabajo de la Generalitat de Cataluña, como servicio de prevención ajeno (SPA) “y tendrá la colaboración de la persona nombrada en este acta, que actuará de enlace entre la empresa y el SPA. Por tanto, de conformidad con la ley, y con efectos desde el 4 de mayo de 2020, asume este nombramiento Dña. [B.B.B.]” (El subrayado es nuestro) OCTAVO: RUBIATO manifiesta que, en fechas previas a la primera declaración de estado de alarma, contaba con 156 trabajadores distribuidos en tres centros de trabajo. NOVENO: RUBIATO manifiesta que la cifra de negocio global anual en el ejercicio 2020 fue de 32.510.000€ y la del Grupo Vall Companys, al que pertenece, de 2.188.000.000€ (dos mil ciento ochenta y ocho millones de euros) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/60 DÉCIMO: RUBIATO manifiesta que “la empresa no ha tenido conocimiento en ningún momento de la información necesaria para identificar los datos de vacunación con la identidad” de los trabajadores. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Normas jurídicas aplicables El RGPD dedica el artículo 5 a los principios que presiden el tratamiento de los datos de carácter personal y establece en el apartado 1: “1. Los datos personales serán:
a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>. (...)” El artículo 5.2 indica que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” El artículo 6 del RGPD, bajo la rúbrica “Licitud del tratamiento”, concreta en su apartado 1 los supuestos en los que el tratamiento de datos personales es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/60
d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” El artículo 9 del RGPD, “Tratamiento de categorías especiales de datos personales”, dispone: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. 2.El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión, de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/60 establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,
j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3.Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4.Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud.” III Tratamiento de datos del que se responsabiliza a RUBIATO y naturaleza de los datos tratados 1. La conducta de RUBIATO que es objeto de este procedimiento sancionador trae causa del correo electrónico que envió a su plantilla de trabajadores el 07/06/2021 en el que solicitaba que, cada uno de ellos, de manera individual, le informara de si estaba o no vacunado frente al Covid-19; que, en caso afirmativo, indicara la fecha de vacunación y si su vacuna era de una o de dos dosis y, en esta última hipótesis, cuántas dosis le habían inoculado. En el supuesto de que no estuviera vacunado, se pedía al trabajador que informara si ya había sido citado para la vacunación. Se solicitaba, además, que enviara la información por WhatsApp o por correo electrónico, advirtiendo que si usaba este segundo medio debía identificarse con su nombre y apellidos. El mensaje electrónico fue enviado desde la dirección ***EMAIL.1 y está firmado por “B.B.B.” “Dpto. de Desarrollo y Gestión de Personas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/60 El DPD de RUBIATO reconoció en su respuesta a la solicitud informativa de la Subdirección de Inspección de la AEPD que el mensaje que se había enviado a la plantilla el 07/06/2021 “adolecía de una falta de información respecto a los datos de vacunación”, motivo por el cual había procedido a remitirles el 05/08/2021, casi dos meses después del primero, un nuevo mensaje por medio del cual entendía que “este error fue subsanado” y con el que se proporcionaba “a los empleados toda la información necesaria”. Entre ella, la relativa al fundamento o base jurídica del tratamiento de datos efectuado que, a su juicio, estaba constituida por “la relación laboral y el cumplimiento de una obligación legal.” Ese segundo mensaje, de 05/08/2021, se transcribe en el Hecho Probado segundo, por lo que omitimos aquí su reproducción. En él, la parte reclamada, además de facilitar la información que es preceptiva según el artículo 13 del RGPD, se pronuncia expresamente -a diferencia de lo que hizo en su primer mensaje- sobre el carácter voluntario de la respuesta de los empleados. Dice: “No se trata en ningún caso de una solicitud con carácter obligatorio, los empleados pueden facilitar la información sobre su estado de vacunación de forma totalmente voluntaria.” (El subrayado es nuestro) Además, en este mensaje la reclamada informa a los trabajadores de que “Los datos de vacunación únicamente son conocidos por el personal del Área de Prevención de Riesgos Laborales”. “El área de Prevención de Riesgos Laborales trasladará a la empresa los datos estadísticos del estado de inmunización en ningún caso la empresa tendrá conocimiento ni podrá asociar los datos de vacunación con la identidad de los empleados de Rubiato Paredes.” (El subrayado es nuestro) 2. A propósito del tratamiento que RUBIATO hizo de los datos de vacunación de las personas con quienes mantenía una relación laboral, en el acuerdo de inicio se advirtió que no obraban en el expediente documentos con la información vacunal frente al Covid-19 que los empleados facilitaron a la reclamada, tras lo cual, se añadía que, no obstante, sí existían otros elementos de juicio que permitían confirmar que la reclamada había recabado y tratado información de esa naturaleza relativa a sus empleados. Estos elementos eran, entre otros, algunas de las manifestaciones que el DPD de RUBIATO hizo en su respuesta a la solicitud informativa de la Subdirección de Inspección de Datos de la AEPD. Manifestaciones que, como se dijo en el acuerdo de inicio, en un caso, confirmaban directa y expresamente que la entidad había realizado el tratamiento sobre el que versa el procedimiento sancionador y, en otros, la confirmaban indirectamente, en la medida en que sus declaraciones solo cobraban sentido sobre la premisa de que los empleados hubieran llegado a proporcionarle la información que les había solicitado. Se reproducen, aún a riesgo de ser reiterativos, las siguientes manifestaciones hechas por el DPD de la reclamada en su respuesta a la solicitud informativa de la Subdirección de Inspección de Datos (apartado Segundo, párrafos quinto y sexto de su escrito): “En ningún caso el conocimiento del estado de vacunación ha supuesto modificación alguna en las medidas de seguridad que Rubiato Paredes lleva aplicando desde el comienzo de la crisis sanitaria. En concreto, [...], los centros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/60 de trabajo se encuentran perfectamente adecuados a las medidas de seguridad dictadas para la prevención de los contagios por la Covid-19 (mascarillas, distancia de seguridad, aforo reducido, mamparas, etc.). [...]”. “Así mismo, no se ha producido ninguna diferencia de trato entre los empleados vacunados y no vacunados, manteniendo las mismas condiciones laborales.” “Cabe reiterar que la empresa no ha tenido conocimiento en ningún momento de la información necesaria para identificar los datos de vacunación con la identidad de los trabajadores, a esta información solamente ha accedido una persona del área de Prevención de Riesgos Laborales.” (El subrayado es nuestro) El acuerdo de inicio destacaba, además, los términos en los que estaba redactado el mensaje que RUBIATO envió a los trabajadores el 07/06/2021, en el que no se decía que fuera opcional para ellos proporcionar la información solicitada ni tampoco cabía deducir ese carácter de su tenor literal. A modo de ejemplo se citó en el acuerdo de inicio el siguiente párrafo del mensaje de RUBIATO: “Si no te han vacunado y tampoco tienes mensaje, NO debes indicarme nada. Sí deberás hacerlo cuando más adelante te citen para ello.” (El subrayado es nuestro) Se consideró que esa circunstancia, unida a que el mensaje se había enviado desde un departamento de la compañía, el de “Desarrollo y Gestión de Personas”, que el reclamante identificó en su escrito de reclamación como el de “RRHH”, y al importante número de empleados que integraban la plantilla -por encima de cien-, eran indicios de que la reclamada había recibido la respuesta de, al menos, algunos trabajadores con la que le proporcionaban información de su estado vacunal. Ahora bien, en la propuesta de resolución -a la vista del resultado de las pruebas practicadas- se advirtió que obraban en el expediente documentos que confirmaban que la parte reclamada trató durante cierto tiempo datos con información de los empleados relativa a su vacunación contra el Covid-19. En los Hechos Probados tercero y cuarto de esta resolución consta que RUBIATO aportó con su respuesta a las pruebas -documento número 7- una captura de pantalla obtenida de sus sistemas informáticos en fecha 18/01/2023 en la que puede verificarse que existe una carpeta denominada “RRHH” que contiene a su vez diversas subcarpetas y documentos, siendo uno de esos documentos, en formato Excel, el que lleva por título “VACUNADOS COVID RUBIATO PAREDES”. Este documento aparece “Modificado” el “31/01/2022” y “Modificado por” B.B.B. La reclamada comenta, a propósito de esa captura de pantalla obtenida de sus sistemas que aportó en la fase de prueba, que es un “pantallazo del sistema de información de la carpeta de Sharepoint con acceso limitado y exclusivo a [ B.B.B.], en donde se certifica la fecha del último acceso realizado por la coordinadora de PRL a la hoja excel “VACUNADOS RUBIATO PAREDES”, momento en el cual se produce la supresión de los datos por dejar de ser útiles para la finalidad en la que fueron recabados, es decir la de garantizar la seguridad de su personal mediante el conocimiento del nivel de inmunidad de su plantilla.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/60 La constatación de que existía un documento Excel -“VACUNADOS RUBIATO PAREDES”- en la carpeta de RRHH al que tenía acceso la empleada B.B.B., debe conectarse con el hecho de que, en la petición que la reclamada hizo a los trabajadores para que informaran de su estado vacunal, se adoptaban las cautelas para que la respuesta estuviera vinculada a la identidad de cada trabajador. Recordemos que el mensaje decía que podían responder vía WhatsApp o vía correo electrónico pero que en este caso debían indicar su “nombre y apellidos”. RUBIATO afirma que procedió a la supresión de los datos que se recogieron y que figuraban en el documento “VACUNADOS RUBIATO PAREDES” el 31/01/2022 y añade que la supresión “ha supuesto el bloqueo de los datos de carácter personal, permaneciendo a disposición de las administración pública, jueces y tribunales para la atención y defensa de las posibles responsabilidades nacidas del tratamiento por el plazo de prescripción de éstas últimas.” En definitiva, la captura de pantalla obtenida de sus sistemas que la reclamada aporta, acredita que se efectuó un tratamiento de datos de los empleados acerca de su vacunación contra el Covid-19. Tomando como referencia la fecha en la que RUBIATO envió a la plantilla el mensaje en el que solicitaba información vacunal, el 07/06/2021, y la fecha en la que afirma haber procedido al bloqueo de esos datos, el 31/01/2022, habrían transcurrido entre ambas fechas más de siete meses. 3. El RGPD define el “tratamiento” (artículo 4.2) como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” (El subrayado es nuestro) Así pues, la información sobre la vacunación frente al Covid-19 que RUBIATO recogió de los trabajadores, consultó y conservó durante cierto tiempo, constituye un “tratamiento” de “datos de carácter personal”, ya que la información estaba asociada al nombre y apellidos de cada trabajador, quienes debían hacerlos constar en su respuesta si la enviaban por correo electrónico o bien se encontraba vinculada a su número de teléfono móvil si enviaban la respuesta por WhatsApp. Y para el RGPD es “dato personal” (artículo 4.1) “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. 4. Naturaleza de los datos sobre el estado vacunal de los empleados que han sido objeto de tratamiento por RUBIATO: Datos relativos a la salud. Es obligado analizar seguidamente si los datos personales concernientes a la vacunación que RUBIATO recabó de sus trabajadores tienen la naturaleza de datos “relativos a la salud”, con la consecuencia de quedar sometidos al régimen específico que diseña el artículo 9 del RGPD. Cuestión que no es baladí toda vez que esa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/60 disposición prevé para las categorías especiales de datos un régimen jurídico particular cuya “regla general” (apartado 1) es precisamente la prohibición de su tratamiento. El artículo 9 del RGPD bajo la rúbrica “Tratamiento de categorías especiales de datos personales” especifica en el apartado 1 qué datos tienen ese carácter e incluye entre ellos los “relativos a la salud”. El precepto dispone: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física.” (El subrayado es nuestro) A su vez, el RGPD, artículo 4.15, define los “datos relativos a la salud” como los “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud;”. (El subrayado es nuestro) Frente a la definición de “datos de carácter personal relacionados con la salud” que ofrecía el artículo 5.
g)del Reglamento de desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), aprobado por el Real Decreto 1720/2017 (RLOPD), el RGPD (artículo 4.15) integra en la categoría especial de datos relativos a la salud “la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud”. El considerando 35 del RGPD se refiere a ellos en los siguientes términos: <<Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo

(1); todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.>> (El subrayado es nuestro) En definitiva, el considerando 35 del RGPD determina que “la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo” está incluida en la categoría especial de datos de salud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/60 La Directiva 2011/24/UE, a la que nos remite el considerando 35, indica en su artículo 3, “Definiciones”, qué se entiende por: “

a)<<asistencia sanitaria>>: los servicios relacionados con la salud prestados por un profesional sanitario a pacientes para evaluar, mantener o restablecer su estado de salud, incluidos la receta, dispensación y provisión de medicamentos y productos sanitarios;” (El subrayado es nuestro). El artículo 3 de la Directiva 2011/24/UE también determina, apartados
f)e i), respectivamente, qué se entiende por “profesional sanitario” y por “medicamentos”. El apartado
f)define al “profesional sanitario” como “todo doctor en medicina, enfermero responsable de cuidados generales, odontólogo, matrona o farmacéutico a tenor de lo dispuesto en la Directiva 2005/36/CE u otro profesional que ejerza actividades en el sector de la asistencia sanitaria que estén restringidas a una profesión regulada según se define en el artículo 3, apartado 1, letra a), de la Directiva 2005/36/CE, o toda persona considerada profesional sanitario conforme a la legislación del Estado miembro de tratamiento;” (El subrayado es nuestro) Al hilo de lo anterior, cabe señalar que la Ley 44/2003, de 21 de noviembre, de ordenación de la profesión sanitaria, califica como “profesional sanitario”, entre otros profesionales, a los Diplomados en Enfermería (artículo 2) y a los Técnicos en Cuidados Auxiliares en Enfermería (artículo 3) Y el apartado
i)del artículo 3 de la Directiva 2011/24/UE entiende por «medicamento» “todo medicamento según se define en la Directiva 2001/83/CE”. A su vez, la Directiva 2001/83/CE del Parlamento Europeo y del Consejo, de 6 de noviembre de 2001, por la que se establece un código comunitario sobre medicamentos para uso humano, en su artículo 1.2 entiende por “medicamento” “
a)toda sustancia o combinación de sustancias que se presente como poseedora de propiedades para el tratamiento o prevención de enfermedades en seres humanos, o
b)toda sustancia o combinación de sustancias que pueda usarse en, o administrarse a seres humanos con el fin de restaurar, corregir o modificar las funciones fisiológicas ejerciendo una acción farmacológica, inmunológica o metabólica, o de establecer un diagnóstico médico”. (El subrayado es nuestro) A la luz de las disposiciones que se citan, la vacunación de una persona contra el Covid-19 implica la prestación de un servicio de asistencia sanitaria; un servicio prestado por quienes, de acuerdo con la legislación española, Ley 44/2003, tienen la consideración de profesionales sanitarios y mediante el que se dispensa un medicamento, tal y como lo define el artículo 1.2 de la Directiva 2001/83/CE. Por consiguiente, la información acerca de si una persona física identificada ha recibido o no la vacuna del Covid-19 tiene la naturaleza de dato personal relativo a la salud, encuadrado en la categoría de datos especiales o sensibles regulados en el artículo 9 del RGPD. Así pues, la conducta contraria al RGPD de la que se responsabiliza a RUBIATO se concreta en el tratamiento de datos de salud de los trabajadores, datos relativos a la vacunación de personas con quienes mantenía una relación laboral a los que accedió a través de la contestación que dieron al mensaje que les envió el 07/06/2021 que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/60 como se expone en los Fundamentos siguientes vulnera los artículos 9 y 6.1 del RGPD. IV Sobre el contexto sanitario y las obligaciones impuesta por la Ley 31/1995 1.La parte reclamada ha destacado en sus dos escritos de alegaciones, al acuerdo de inicio y a la propuesta de resolución, la relevancia que la situación de crisis sanitaria provocada por la infección de Covid-19 ha tenido en la conducta que es objeto de valoración. Así, ha declarado, entre otras cosas, que, en el contexto en el que se produjeron los hechos, se vio obligada a adoptar “las máximas medidas de seguridad y vigilancia en relación con la salud de sus trabajadores.” Caracteriza ese contexto por el gran riesgo al que se vieron expuestos sus empleados durante la crisis sanitaria, ya que el carácter estratégico del sector industrial al que pertenece su actividad -el de alimentación- le obligó a no interrumpir la producción durante esa etapa, a lo que añade que su actividad es necesariamente presencial. Ha explicado que esas circunstancias hicieron que considerase “necesario” para proteger la seguridad del personal y reorganizar la plantilla de forma que se diera continuidad a los procesos de producción, “que el área de Prevención de Riesgos Laborales de RUBIATO PAREDES consultara los datos de vacunación de las personas trabajadoras de sus centros de trabajo”. (El subrayado es nuestro) Y ha alegado, además, que “en el momento del envío del correo electrónico no se contaba con indicaciones claras por parte de los organismos competentes más allá de los criterios marcados por el Ministerio de Sanidad en su “Procedimiento de actuación para los Servicios de Prevención de Riesgos Laborales frente a la exposición al SarsCoV-2”, “ni con un procedimiento establecido respecto al tratamiento de datos de vacunación por parte de las empresas.” (El subrayado es nuestro) Se debe puntualizar, sin embargo, que, siendo cierto el mayor riesgo al que hubieran estado sometidos los empleados de RUBIATO, como los de otros tantos sectores estratégicos, tal circunstancia no le autorizaba a adoptar medidas que vulnerasen un derecho fundamental de las personas con las que mantenía una relación laboral, como es el de la protección de los datos de carácter personal. Por tanto, esas “máximas medidas de seguridad y vigilancia en relación con la salud de sus trabajadores” a las que dice que se vio avocada ante la situación generada por la pandemia de Covid-19, necesariamente debían haberse adoptado respetando el ordenamiento jurídico y dentro del marco de actuación para el que la reclamada estaba habilitada. La reclamada ha añadido en sus alegaciones a la propuesta de resolución que consideró necesario conocer “información estadística” de la vacunación de los empleados y que esa fue la razón de que la coordinadora de prevención, doña B.B.B., solicitara información “insistimos que voluntaria”. Afirmación que contradice lo manifestado hasta ahora, tanto en las alegaciones al acuerdo de inicio como en la respuesta a la solicitud informativa (Antecedente de Hecho Segundo) cuando a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/60 propósito del “Plan de contingencia frente a COVID-19 de Rubiato Paredes” dice que se incluirán referencias concretas a las personas trabajadoras vacunadas. En todo caso, siguiendo con la nueva finalidad del tratamiento que invoca la reclamada, no deja de sorprender por qué, si la información era con fines estadísticos, se exigió a los trabajadores que facilitaran su nombre y apellidos en caso de responder a través de correo electrónico, puesto que si lo hacía por WhatsApp no era necesario ya que el número de móvil permitía tal identificación. Y, al tiempo, si se perseguía hacer una estadística de vacunados (lo que en ningún caso requería identificar a los empleados) parece lógico pensar que la petición de información recabada de éstos no era voluntaria. Carácter no voluntario de la petición dirigida a los empleados que se evidenciaba del mensaje controvertido. No será hasta el segundo mensaje enviado por la reclamada a la plantilla, el 05/08/2021, cuando han transcurrido más de dos meses desde que se envió el que ha dado origen a este expediente, tiempo suficiente para haber recibido la respuesta de sus trabajadores, cuando RUBIATO les informe de que la respuesta a su petición era voluntaria. Finalmente, RUBIATO ha mencionado en sus alegaciones a la propuesta que “las autoridades sanitarias de diferentes comunidades autónomas” solicitaron información “sobre el estado de vacunación a la empresa privada”, pero no ofrece ninguna información adicional sobre tal extremo, por ejemplo, qué tipo de información, sobre qué premisas o cuál era la norma jurídica en la que ampararon la petición. Pese a ello, hay que insistir en que una cosa son los porcentajes de vacunados, o la información estadística de vacunados y otra muy distinta el panorama que caracteriza a los hechos objeto de la reclamación, en el que la información vacunal del trabajador estaba vinculada a su identidad. Como se dijo en la propuesta de resolución RUBIATO podría haber recabado información vacunal a efectos estadísticos siempre y cuando hubiera adoptado las medidas encaminadas a garantizar que, en ningún caso, pudiera vincularse la información vacunal con la identidad del trabajador. Llegados a este punto hemos de citar el Informe del Gabinete Jurídico de la AEPD 0017/2020, que comienza señalando que, “con carácter general, debe aclararse que la normativa de protección de datos personales, en tanto que dirigida a salvaguardar un derecho fundamental, se aplica en su integridad a la situación actual, dado que no existe razón alguna que determine la suspensión de derechos fundamentales, ni dicha medida ha sido adoptada.” El informe hace referencia, al considerando

(46)del RGPD -reiteradamente citado por la parte reclamada- que “reconoce que, en situaciones excepcionales, como una epidemia, la base jurídica de los tratamientos puede ser múltiple, basada tanto en el interés público, como en el interés vital del interesado u otra persona física.” Esto, “Sin perjuicio de que puedan existir otras bases, -como por ejemplo el cumplimiento de una obligación legal, art. 6.1.c) RGPD (para el empleador en la prevención de riesgos laborales de sus empleados)” No obstante, dice el Informe, no es suficiente con que exista una base jurídica del artículo 6 del RPGD para que el tratamiento de datos de salud sea lícito, deberá existir además una circunstancia que levante la prohibición del tratamiento de esa categoría C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/60 especial de datos. Y añade refiriéndose a las circunstancias que levantan la prohibición general del artículo 9.1 del RGPD: “Esta AEPD entiende que dichas circunstancias cabe encontrarlas, en este caso, en varios de los epígrafes del art. 9.2 RGPD. Así: (I) En la letra b), en las relaciones ente empleador y empleado, por cuanto el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento (el empleador) o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, ya que el empleador está sujeto o a la normativa de prevención de riesgos laborales (Ley 31/1995, de 8 de noviembre, de prevención de Riesgos Laborales) de la cual se desprende, artículo 14 y concordantes de dicha ley, un deber del empresario de protección de los trabajadores frente a los riesgos laborales, para lo cual el empresario deberá garantizar la seguridad y salud de todos los trabajadores a su servicio en los aspectos relacionados con el trabajo. […] El empleador deberá tratar dichos datos conforme al RGPD, debiendo adoptarse las medidas oportunas de seguridad y responsabilidad proactiva que demanda el tratamiento (art. 32 RGPD). (II) En la letra g), y en la i), que pueden ser examinadas conjuntamente, por cuanto ambas hacen referencia a un interés público, […] (III) En la letra h), cuando el tratamiento es necesario para realizar un diagnóstico médico, o evaluación de la capacidad de laboral del trabajador o cualquier otro tipo de asistencia de tipo sanitario o para la gestión de los sistemas y servicios de asistencia sanitaria y social. (IV) Una última circunstancia de cierre que permitiría el tratamiento de datos de salud podría ser incluso la establecida en la letra c), en el caso de que se den las circunstancias previstas en este apartado, que aplicaría cuando el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento. […] En consecuencia, en una situación de emergencia sanitaria […] la aplicación de la normativa de protección de datos personales permitiría adoptar al responsable del tratamiento aquellas decisiones que sean necesarias para salvaguardar los intereses vitales de las personas físicas, el cumplimiento de obligaciones legales o la salvaguardia de intereses esenciales en el ámbito de la salud pública, dentro de lo establecido por la normativa material aplicable. […]. Pero los responsables de tratamientos, al estar actuando para salvaguardar dichos intereses, deberán actuar conforme a lo que las autoridades establecidas en la normativa del Estado miembro correspondiente, en este caso España, establezcan. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/60 Así, el legislador español se ha dotado de las medidas legales necesarias oportunas para enfrentarse a situaciones de riesgo sanitario, como la Ley Orgánica 3/1986, de 14 de abril, de Medidas Especiales en Materia de Salud Pública (modificada mediante Real Decreto-ley 6/2020, de 10 de marzo, por el que se adoptan determinadas medidas urgentes en el ámbito económico y para la protección de la salud pública, publicado en el Boletín Oficial del Estado de 11 de marzo de 2020) o la Ley 33/2011, de 4 de octubre, General de Salud Pública. El artículo 3 de la primera de dichas normas señala que: [c]on el fin de controlar las enfermedades transmisibles, la autoridad sanitaria, además de realizar las acciones preventivas generales, podrá adoptar las medidas oportunas para el control de los enfermos, de las personas que estén o hayan estado en contacto con los mismos y del medio ambiente inmediato, así como las que se consideren necesarias en caso de riesgo de carácter transmisible. Del mismo modo, los artículos 5 y 84 de la Ley 33/2011, de 4 de octubre, General de Salud Pública se refieren a la anterior Ley orgánica 3/1986, y a la posibilidad de adoptar medidas adicionales en caso de riesgo de transmisión de enfermedades. Por lo tanto, en materia de riesgo de transmisión de enfermedades, epidemia, crisis sanitarias etc., la normativa aplicable ha otorgado “a las autoridades sanitarias de las distintas Administraciones públicas” (art. 1 Ley Orgánica 3/1986, de 14 de abril) las competencias para adoptar las medidas necesarias previstas en dichas leyes cuando así lo exijan razones sanitarias de urgencia o necesidad. En consecuencia, desde un punto de vista de tratamiento de datos personales, la salvaguardia de intereses esenciales en el ámbito de la salud pública corresponde a las distintas autoridades sanitarias de las diferentes administraciones públicas, quienes podrán adoptar las medidas necesarias para salvaguardar dichos intereses esenciales públicos en situaciones de emergencia sanitaria de salud pública. Serán estas autoridades sanitarias competentes de las distintas administraciones públicas quienes deberán adoptar las decisiones necesarias, y los distintos responsables de los tratamientos de datos personales deberán seguir dichas instrucciones, incluso cuando ello suponga un tratamiento de datos personales de salud de personas físicas. Lo anterior hace referencia, expresamente, a la posibilidad de tratar los datos personales de salud de determinadas personas físicas por los responsable de tratamientos de datos personales, cuando, por indicación de las autoridades sanitarias competentes, es necesario comunicar a otras personas con las que dicha persona física ha estado en contacto la circunstancia del contagio de esta, para salvaguardar tanto a dichas personas físicas de la posibilidad de contagio (intereses vitales de las mismas) cuanto para evitar que dichas personas físicas, por desconocimiento de su contacto con un contagiado puedan expandir la enfermedad a otros terceros (intereses vitales de terceros e interés público esencial y/o cualificado en el ámbito de la salud pública). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/60 Ahora bien, los tratamientos de datos personales en estas situaciones de emergencia sanitaria, como se ha mencionado al principio de este informe, siguen siendo tratados de conformidad con la normativa de protección de datos personales (RGPD y Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, LOPDGDD), por lo que se aplican todos sus principios, contenidos en el artículo 5 RGPD, y entre ellos el de tratamiento de los datos personales con licitud, lealtad y transparencia, de limitación de la finalidad (en este caso, salvaguardar los intereses vitales/esenciales de las personas físicas), principio de exactitud, y por supuesto, y hay que hacer especial hincapié en ello, el principio de minimización de datos. Sobre este último aspecto hay que hacer referencia expresa a que los datos tratados habrán de ser exclusivamente los limitados a los necesarios para la finalidad pretendida, sin que se pueda extender dicho tratamiento a cualesquiera otros datos personales no estrictamente necesarios para dicha finalidad, […].” (El subrayado es nuestro) Por tanto, a la luz del Informe del Gabinete Jurídico de la AEPD, publicado meses antes de que acontecieran los hechos que han originado este expediente, resulta que, para que la parte reclamada pudiera, a fin de salvaguardar intereses esenciales de la salud de sus trabajadores en la situación de crisis sanitaria que invoca, tratar sus datos de salud tendría que haberse levantado la prohibición general. Y como precisa el Informe, “Serán estas autoridades sanitarias competentes de las distintas administraciones públicas quienes deberán adoptar las decisiones necesarias, y los distintos responsables de los tratamientos de datos personales deberán seguir dichas instrucciones, incluso cuando ello suponga un tratamiento de datos personales de salud de personas físicas.” 2.La reclamada ha invocado reiteradamente como fundamento de su actuación las obligaciones que el artículo 14 de la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales (LPRL) hace recaer sobre el empleador, obligaciones que, según manifiesta, ha pretendido cumplir a través de la medida que adoptó sobre los datos vacunales de los empleados. Encuadrado en el capítulo III de la LPRL que lleva por rúbrica “Derechos y obligaciones”, el artículo 14, “Derecho a la protección frente a los riesgos laborales”, dispone: “1. Los trabajadores tienen derecho a una protección eficaz en materia de seguridad y salud en el trabajo. El citado derecho supone la existencia de un correlativo deber del empresario de protección de los trabajadores frente a los riesgos laborales. […]. Los derechos de información, consulta y participación, formación en materia preventiva, paralización de la actividad en caso de riesgo grave e inminente y vigilancia de su estado de salud, en los términos previstos en la presente Ley, forman parte del derecho de los trabajadores a una protección eficaz en materia de seguridad y salud en el trabajo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/60 2. En cumplimiento del deber de protección, el empresario deberá garantizar la seguridad y la salud de los trabajadores a su servicio en todos los aspectos relacionados con el trabajo. A estos efectos, en el marco de sus responsabilidades, el empresario realizará la prevención de los riesgos laborales mediante la integración de la actividad preventiva en la empresa y la adopción de cuantas medidas sean necesarias para la protección de la seguridad y la salud de los trabajadores, con […], vigilancia de la salud, y mediante la constitución de una organización y de los medios necesarios en los términos establecidos en el capítulo IV de esta ley. El empresario desarrollará una acción permanente de seguimiento de la actividad preventiva con el fin de perfeccionar de manera continua las actividades de identificación, evaluación y control de los riesgos que no se hayan podido evitar y los niveles de protección existentes y dispondrá lo necesario para la adaptación de las medidas de prevención señaladas en el párrafo anterior a las modificaciones que puedan experimentar las circunstancias que incidan en la realización del trabajo. 3. El empresario deberá cumplir las obligaciones establecidas en la normativa sobre prevención de riesgos laborales. 4. Las obligaciones de los trabajadores establecidas en esta Ley, la atribución de funciones en materia de protección y prevención a trabajadores o servicios de la empresa y el recurso al concierto con entidades especializadas para el desarrollo de actividades de prevención complementarán las acciones del empresario, sin que por ello le eximan del cumplimiento de su deber en esta materia, sin perjuicio de las acciones que pueda ejercitar, en su caso, contra cualquier otra persona. 5. […].” (El subrayado es nuestro) En ningún caso las obligaciones que el artículo 14 de la LPRL impone al empleador en materia de salud y seguridad de sus empleados, ni las de los restantes artículos del capítulo II de la LPRL, habilitaban a RUBIATO, con el fin de velar por la salud del trabajador, para tratar información vacunal de ellos en condiciones como las que aquí se han producido: de forma que los trabajadores quedaran perfectamente identificados. Por lo que respecta a la obligación de “vigilancia de la salud”, el artículo 22 de la LPRL es absolutamente claro sobre la actuación del empleador, el carácter confidencial que tiene para él la información relacionada con los datos de salud de los trabajadores y la imposibilidad de que acceda a datos de ese carácter. El precepto limita el conocimiento que puede llegar a tener el empleador sobre los datos de salud a las “conclusiones que se deriven de los reconocimientos”. El artículo 22 de la LPRL dispone: “1. El empresario garantizará a los trabajadores a su servicio la vigilancia periódica de su estado de salud en función de los riesgos inherentes al trabajo. Esta vigilancia sólo podrá llevarse a cabo cuando el trabajador preste su consentimiento. De este carácter voluntario sólo se exceptuarán, previo informe de los representantes de los trabajadores, los supuestos en los que la realización de los reconocimientos sea imprescindible para evaluar los efectos de las condiciones de trabajo sobre la salud de los trabajadores o para verificar si el estado de salud del trabajador puede constituir un peligro para el mismo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/60 para los demás trabajadores o para otras personas relacionadas con la empresa o cuando así esté establecido en una disposición legal en relación con la protección de riesgos específicos y actividades de especial peligrosidad. En todo caso se deberá optar por la realización de aquellos reconocimientos o pruebas que causen las menores molestias al trabajador y que sean proporcionales al riesgo. 2. Las medidas de vigilancia y control de la salud de los trabajadores se llevarán a cabo respetando siempre el derecho a la intimidad y a la dignidad de la persona del trabajador y la confidencialidad de toda la información relacionada con su estado de salud. 3. Los resultados de la vigilancia a que se refiere el apartado anterior serán comunicados a los trabajadores afectados. 4. Los datos relativos a la vigilancia de la salud de los trabajadores no podrán ser usados con fines discriminatorios ni en perjuicio del trabajador. El acceso a la información médica de carácter personal se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores, sin que pue

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.