PS-00516-2022

1/42  Expediente N.º: EXP202208436 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 23 de enero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EUROCOLLEGE OXFORD ENGLISH INSTITUTE S.L. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 8 de septiembre de 2023, se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202208436 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 6/07/2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CENTRO DE ESTUDIOS AERONÁUTICOS, S.L. con NIF B72019052 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Suscribió un contrato de enseñanza el 21/01/2022 con la reclamada para formación de Tripulante de Cabina de Pasajeros (TCP), en el que se le requieren diversos datos cuya necesidad no es tal, ni está prevista por la Autoridad Estatal de Seguridad Aérea (AESA), que homologa los cursos de las escuelas como la reclamada. Manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/42 1- “en el apartado 12 del contrato el cual se me hizo firmar sin tachar si, en las casillas donde se observa que se puede tanto tachar que si, como que no. Por lo que en ningún momento he autorizado a la escuela donde me había matriculado a pedir y utilizar mis datos personales lo cual sin autorización entiendo que se han vulnerado muchos aspectos sobre mi privacidad ya que jamás los he autorizado nada relativo a la ley de protección de datos que a continuación detallo.” 2- “Me hicieron rellenar una declaración de salud (La cual supuse que era obligatoria rellenar) con datos médicos que solo un médico tiene derecho a pedírmelos. Ningún centro homologado por AESA (academia de azafatas de vuelo) tiene el derecho, ni mucho menos obligación de pedirme estos datos por escrito como ellos hicieron ya que AESA no los pide en ningún momento. Todas las escuelas homologadas como esta, se tienen que regir por las normas de AESA que repito no exige estos datos.” 3- “en el apartado 6 del contrato, también se hace mención de que debo inclusive presentar un certificado médico para poder realizar el curso, lo cual también es falso ya que no es ningún requisito de AESA. Se me hace rellenar un documento a mano que renuncio a la cláusula 6 y que me dan dos meses para realizarme ese chequeo médico. Si no entrego ese certificado médico en ese plazo, según ellos, no puedo realizar el curso. (lo cual como se puede observar en las normativas de AESA es falso.)” 4- “También se me ha pedido un certificado de penales, que al no ser un requisito de AESA tampoco ningún centro homologado por AESA debería pedirlo ya que todos los centros homologados deben regirse por las normas de AESA.” Aporta:  copia de contrato, “condiciones particulares” en las que se indica el precio del curso completo, 3.865 euros, “que incluye toda la información detallada en el folleto informativo. Queda fuera de este importe el precio del reconocimiento médico, expedido por un profesional autorizado por la autoridad aeronáutica”” Forma de pago: “En este acto 290 euros en concepto de matrícula, mas 200 euros por apertura de expediente y tasas de examen, y el resto en concepto de honorarios de enseñanza, detallando a continuación el compromiso de la forma de abono.” Figuran las opciones de al contado, o aplazado. El documento aparece encabezado por las diversas sedes en capitales de provincia, 14, en las que parecen ofertarse los servicios del centro.  copia de CONDICIONES GENERALES del curso, entre las que se informa que la reclamada es “una entidad especializada en formación aeronáutica y dispone de autorización administrativa para realizar la formación denominada tripulante de cabina de pasajeros. Este curso se realiza conforme a las normas y a las autorizaciones reseñadas anteriormente y en especial las de la Agencia Estatal de Seguridad Aérea, dependiente del Ministerio de Fomento”. Destacan entre otras, las siguientes clausulas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/42 - 12: “información sobre protección de datos conforme al Reglamento 2017/679”, constando la fecha y firma de la reclamante de 21/01/2022 y al mismo tiempo, en la misma hoja, “documento de revocación” del contrato firmado el mismo día 21/01/2022 (se menciona el Real Decreto legislativo 1/2007 de 16/11 y Ley 3 2014 de 27/03, como revocación del contrato de enseñanza en el plazo máximo de 14 días naturales contados a partir de la fecha de su formalización.) Se indica el responsable a efectos de Protección de Datos, se señala que “el centro se obliga a mantener/y o a utilizar los datos personales consignados en el presente contrato conforme establece la normativa de Protección de Datos con la finalidad de la correcta gestión administrativa y formativa de los alumnos del centro, así como el envío de publicidad de los servicios del centro y con la legitimación del cumplimiento de una obligación legal aplicable al responsable del tratamiento, ejecución de un contrato y consentimiento del interesado”. “Para los siguientes tratamientos de datos, solicitamos su consentimiento expreso marcando las casillas correspondientes.” Existen, tres columnas con el sí o el no, la primera: para fines estadísticos, la segunda: el uso y publicación de fotografías, y la última: el envío de comunicaciones publicitarias. Ninguna de ellas aparece marcada. “Los datos proporcionados se conservarán mientras se mantenga la relación comercial o durante los años necesarios para cumplir con las obligaciones legales. Los datos no se cederán a terceros salvo en los casos en que exista una obligación legal.” Se informa de los derechos que puede ejercitar y la sede a la que dirigirse, y que “puede consultar información adicional y detallada sobre Protección de Datos en nuestra página web ***URL.1” - 6: “Antes de la fecha del inicio del curso, el alumno deberá presentar el certificado médico de clase CC, con la condición de apto. Si no lo presenta en forma y fecha, el centro no admitirá al alumno en la promoción prevista, pudiendo presentarse a la siguiente con disponibilidad de plaza. En caso de resultar no apto en el reconocimiento médico expedido por un médico reconocido por la autoridad aeronáutica, el centro se compromete a devolver al alumno matriculado en un plazo no superior a dos meses los importes que haya abonado. No obstante, si es no apto por consumo de estupefacientes o cualquier otro tipo de drogadicción, se le guardará la matrícula y admitirá en otra promoción hasta conseguir el apto.” - 9:”Una vez superado el curso, el centro se obliga a gestionar la acreditación para el alumno considerado apto en las pruebas realizadas por el organismo competente, el cual expedirá el certificado en función a la normativa vigente, siendo facilitado al alumno una vez satisfechos los honorarios de enseñanza en su totalidad.” - 10: se indica que la formación contratada conduce a la presentación a sus dos convocatorias de examen por AESA y conseguir el certificado final.  Un documento informativo que firma el alumno, en este caso la reclamante que se inicia con, “deben presentar los alumnos obligatoriamente para iniciar el curso en el momento de su matriculación o en su defecto antes de iniciar su curso de tripulante de cabina de pasajeros. En caso de no presentar el correspondiente documento, el alumno no podrá iniciar su curso debiendo aplazar el curso a otra convocatoria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/42 -La autoridad aeronáutica solicita uno de los documentos siguientes a color: DNI español en vigor o pasaporte de su país en vigor Remitir la documentación solicitada antes del inicio del curso a la siguiente dirección de email ***EMAIL.1. - “Debe carecer de antecedentes penales- deberá presentar certificado de antecedentes penales al momento de matricularse”. En el pie del documento figura, “reconozco haber sido informada del contenido de este documento” con la firma de la reclamante a 21/01/2022.  copia de CONTRATO DE PRESTACIÓN DE SERVICIOS DE ENSEÑANZA que contiene los datos de la reclamante como: -casilla de “datos de alumno” de identificación, su NIF, estudios, nombre y apellidos de los padres y NIF, fecha inicio clases (no se aprecia). -casilla de “otros datos del titular de la cuenta de cargo”, se recogen preguntas sobre tipo de empleo, o si es pensionista, teléfono del titular de la cuenta, tipo de vivienda (propia, alquiler, convive con familiares, con casillas), tarjetas que posee (con casillas enumerando varias) nombre de la empresa en la que trabaja, numero empleados, cargo, dirección y teléfono de la empresa, años que lleva trabajando, y -casilla de “domiciliación bancaria” se indica “nombre del solicitante y titular de la cuenta de cargo”, con datos de la reclamante, con “firma”, a fecha 21/02/2022.  Le sigue otro documento titulado: “DECLARACIÓN DE SALUD” con preguntas diferentes sobre salud y enfermedades y con la respuesta para completar: sí o no, tales como:¿es epiléptico? ¿padece asma? ¿lleva implante? ¿tiene problemas de visión serios? ¿padece depresión?, ¿tiene alguna enfermedad crónica?, y a continuación: “en el supuesto de que marque algún sí, se ha de especificar en cada caso el problema de salud concreto y su tratamiento médico”, figurando relleno con los datos de la reclamante, sin que en el pie del escrito figure aspecto alguno sobre el tratamiento de estos datos.  Le sigue OTRO DOCUMENTO, relacionado con la cláusula 6 del contrato (condiciones generales) que establecía la obligación de aportar el certificado médico C.C. En este, conteniéndose el apartado para rellenar datos, a modo de declaración comienza con “Yo…”, declara “haber sido informado expresamente por el asesor comercial de los requisitos necesarios para realizar el curso de tripulante de cabina de pasajeros”, en el que se comprende: “En cuanto al certificado médico de clase CC que esta escuela recomienda la realización del mismo antes del inicio del curso para un mejor aprovechamiento del mismo, aunque la Agencia Estatal de Seguridad Aérea no dice nada al respecto sobre el reconocimiento médico en la obtención de la licencia de TCP. Aun así, renuncio a la cláusula 6 del contrato de enseñanza suscrito en todos sus efectos, que dice: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/42 “antes de la fecha del inicio del curso el alumno deberá presentar el certificado médico de clase CC con la condición de APTO. Si no lo presenta en forma y fecha, el centro no admitirá al alumno en la promoción prevista, pudiendo presentarse a la siguiente con disponibilidad de plaza. En caso de resultar no apto en el reconocimiento médico expedido por un médico reconocido por la autoridad aeronáutica, el centro se compromete a devolver al alumno matriculado en un plazo no superior a dos meses los importes que haya abonado. No obstante, si es no apto por consumo de estupefacientes o cualquier otro tipo de drogadicción se le guardará la matrícula y admitirá en otra promoción hasta conseguir el apto. El motivo principal de mi renuncia a esta cláusula 6 del contrato de enseñanza es mi deseo de iniciar el curso en esta promoción sin el reconocimiento médico y no esperar a la siguiente promoción puesto que debido a mis condiciones personales me impiden realizarme el reconocimiento médico de clase CC ahora. He sido informada que al ocupar una de las plazas limitadas del curso en el caso de que posteriormente me realice el reconocimiento médico de clase CC y salga no apto, tendré que seguir abonando el importe total del curso de acuerdo a las condiciones establecidas en el contrato de enseñanza que he firmado en el centro Por ello solicito bajo mi responsabilidad que se permita ocupar iniciar y desarrollar una de las 20 plazas limitadas del curso TCP homologado por la AESA del Ministerio de Fomento.” -Adjunta normativas de AESA, doc3. -“Solicitud de certificado de TCP”, modelo de AESA en el que, en documentación a aportar, fotocopia DNI en vigor, copia compulsada pasaporte y liquidación de tasas, firmada por el solicitante. -Guía editada por AESA de “procedimientos para organizaciones de formación inicial de TCP”, en la que se indica que los solicitantes de un certificado de miembro de TCP deberán haber completado un curso de formación inicial con objeto de familiarizarse con el entorno aeronáutico. “Este entrenamiento podrá ser impartido por organizaciones de formación que dispongan de aprobación de la AESA. Por otro lado, la obtención del certificado de miembro de TCP exigirá la superación de un examen posterior a la formación inicial que convoca la AESA. Los candidatos al examen oficial de la AESA para la obtención de certificado de TCP solo podrán ser presentados a través de las organizaciones aprobadas en las que se ha llevado a cabo la correspondiente formación inicial.” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12 de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/42 adelante, LPACAP), fue recogido en fecha 2/08/2022, como consta en el acuse de recibo que obra en el expediente. Con fecha 19/08/2022, se recibe en esta Agencia escrito de respuesta indicando: 1- “La reclamante firmó el 21/01/2022 un contrato de enseñanza en el que se recogen las condiciones generales del curso de tripulantes de cabina de pasajeros, conociendo los requisitos especificados tanto en el contrato como en los folletos informativos del curso. “ En el punto 12 del contrato, se incluye información básica sobre el tratamiento de datos de los alumnos, especificándose como finalidad principal la gestión administrativa y formativa de alumnos del centro y cómo base de legitimación para el tratamiento de datos, el artículo 6.1

1. b)del RGPD. Indica que para otras finalidades para las que se pide el consentimiento expreso por parte del alumno, mediante la marcación de casillas: sí y no, la reclamante firmó el contrato sin marcar las opciones que figuraban, siendo política del centro entender la denegación del consentimiento en los casos de ausencia de marcación. “Para la consulta de información amplia y detallada sobre Protección de Datos se remite a los alumnos a la página web del centro”. 2-En relación con la obligación de aportación del certificado médico y otros datos de salud mediante la encuesta médica antes del inicio del curso, manifiesta: el certificado de clase CC MED A-030 del “Reglamento UE 11782/2011 de 3/11/2011, por el que se establecen requisitos técnicos y procedimientos administrativos relacionados con el personal de vuelo de la aviación civil en virtud del Reglamento (CE) n 216/2008 del Parlamento Europeo y del Consejo”, en el que “se contiene como obligación expresa en el punto 6 del contrato información ampliamente en los folletos informativos del curso junto con otros requisitos: La petición obedece a ser un requisito para la obtención de la licencia de TCP sin la cual no se podrá ejercer la profesión vinculada al curso, al ser exigible por las compañías aéreas. Adjunta como anexo 2, información publicada en la página web de la agencia AESA en la que relaciona los certificados médicos requeridos según tipo de licencia o habilitación. En este caso se trata del Clase C.C. (CABIN CREW) (Med. A.030 de Reglamento UE 1178/2011). Manifiesta que “Estos reconocimientos incluyen una serie de pruebas entre las que se incluye un examen de orina para determinar que la persona evaluada no consume ningún tipo de droga o sustancia, cuestiones informadas tanto en las condiciones generales como en el folleto informativo relativo a los reconocimientos médicos de clase CC firmado por la reclamante el cual se adjunta como anexo 3” En este anexo, se contiene información que firma la reclamante sobre los reconocimientos médicos de clase CC (CABIN CCREW) “que tienen que presentar los alumnos”, aunque no indica ante quien, “con la condición de apto, antes del inicio del curso “Si no lo presenta en forma y fecha, el centro no lo admitirá en la promoción prevista pudiendo presentarse a la siguiente”” Para mayor información sobre los requisitos del certificado, no dudéis en poneros en contacto con nosotros”. Indica la reclamada que “La reclamante manifestó su intención de comenzar el curso con la actual promoción ocupando las plazas limitadas sin cumplir el requisito obligatorio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/42 aportación del citado certificado médico firmando en consecuencia una declaración voluntaria de renuncia de la cláusula 6 en la que la reclamante manifiesta estar informada de que en el supuesto de que con posterioridad se realice su reconocimiento médico dando un resultado de no apto deberá abonar el importe total del curso. Siendo la presentación del certificado un requisito obligatorio, la necesidad de la renuncia voluntaria al punto 6 por la reclamante se hace necesaria, dado que el no hacerla implicaría un incumplimiento contractual e incluso la nulidad del contrato. En tal sentido, el punto 13 del contrato contempla la posibilidad de modificación contractual tras la solicitud del alumno”. “En cuanto a la solicitud de aportación de encuesta de salud”, de la que aporta copia en ANEXO 1, “tiene como finalidad detectar patologías excluyentes para el ejercicio de la profesión vinculada a la formación. La necesidad de facilitar dicha información es informada verbalmente por el asesor comercial con el objeto de que el alumno cuente con toda la información previa a la formalización del contrato de enseñanza en un ejercicio de transparencia para que el alumno pueda decidir sobre la idoneidad de los estudios que va a realizar. Por tanto, la reclamante cumplimenta voluntariamente el cuestionario cuando, como se ha indicado con anterioridad, había manifestado su voluntad de no aportar el reconocimiento médico antes del inicio firmando la encuesta en conformidad en el momento de aportación de los datos junto con la matrícula”. “El hecho manifestado por la reclamante de la no exigencia por parte de AESA de datos de salud y del referido certificado médico previo al inicio del curso, no implica necesariamente que nuestra escuela no pueda solicitarlo para nuestros candidatos ya que las compañías aéreas sí exigen la presentación de dicho reconocimiento oficial para poder ejercer como tripulante de cabina de pasajeros. Tratándose de un centro homologado por AESA, CEAE, respetando la normativa oficial está facultada para establecer los requisitos de realización de sus cursos, más cuando la petición del certificado es realizada a través del médico homologado por AESA. Se adjunta documento informativo relativo a los reconocimientos médicos con toda la información relativa a la necesidad de aportación de los reconocimientos firmada por la reclamante”. -Señala que la reclamante conocía los requisitos e información relacionada con el curso, añadiéndose que la información específica del curso está colgada en el portal del alumno, en el que se registra y accede la reclamante con fecha 25/01/2022 para comenzar el curso el 28/01/2022. Adjuntan como ANEXO 4, mensaje de bienvenida al curso, e información sobre la inscripción de la reclamante en la plataforma formativa, así como partes de la efectiva asistencia de la reclamante a varias clases del curso. - “En cuanto a la petición de antecedentes penales, no responde a un requerimiento propio del centro, aunque se incluya en la información sobre el curso, sino que obedece a un requisito de AESA para el acceso a determinadas zonas de los aeropuertos. Cabe señalar la resolución de 9/07/2019 de la Secretaría General del Transporte por la que se establece la comprobación de antecedentes personales como una comprobación registrada de la identidad de una persona incluidos los antecedentes penales como parte de la evaluación de la idoneidad de un individuo para tener libre acceso a las zonas restringidas de seguridad. Indica que, tras la finalización de los cursos, la escuela, a través de un departamento de orientación laboral puede remitir automáticamente a un alumno a una entrevista concertada con una compañía aérea o facilitarle su inclusión en procesos selectivos de personal, siempre y cuando el alumno cumpla con los requisitos exigidos por la misma, siendo un requisito exigido por las compañías aéreas para el personal la presentación del correspondiente certificado de penales”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/42 - “Como medida adoptada, indica que se ha dado traslado de la reclamación al Delegado de Protección de Datos, al objeto de que proceda a revisar toda la documentación asociada al proceso de matriculación, así como el clausulado relativo a la Protección de Datos. Tras dicha revisión, implementará las medidas y mejorará las que estime oportunas.” -Señala la reclamada que la denuncia presentada por la reclamante se efectúa simultáneamente en la Dirección General de Comercio y Consumo del Gobierno de Canarias con el objeto final de no hacer frente al pago y de solicitar la devolución del único importe abonado en concepto de matrícula del curso que contrató. -Como ANEXO 1 presenta similares documentos a los presentados por la reclamante, cumplimentados por esta, si bien resultan más legibles el “contrato de prestación de servicios de enseñanza”, y las condiciones particulares en las que figura en el precio del curso de la reclamante que es “aplazado”, con una primera mensualidad de 281,25 el 15/02 y las restantes de la misma cuantía los días 1 durante 12 meses. TERCERO: Con fecha 14/09/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 16/12/2022, figura extraída de la aplicación AXESOR MONITORIZA BUSINESS, que, de la reclamada , NIF: B72019052 ,consta: -Fecha de constitución 23/12/2005 -último ejercicio presentado 2021 -empleados: XXX -Ventas: XXXXXXX euros QUINTO: Con fecha 23/01/2023, se acordó por la Directora: “PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a CENTRO DE ESTUDIOS AERONÁUTICOS, S.L., con NIF B72019052, por la presunta infracción de los siguientes preceptos: -artículo 9.2 del RGPD, tipificada en el artículo 83.5.
2. a)del RGPD y a efectos de prescripción en el artículo 72.1.
3. e)de la LOPDGDD. -artículo 6.1 del RGPD, tipificada en el artículo 83.5.
4. a)del RGPD y a efectos de prescripción en el artículo 72.1.
5. b)de la LOPDGDD. -artículo 6.1 del RGPD, en relación con el artículo 10 del mismo Reglamento y del artículo 10 de la LOPDGDD, tipificada en el artículo 83.5 del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1 de la LOPDGDD. -artículo 5.1.
6. c)del RGPD, tipificada en el artículo 83.5
7. a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1
8. a)de la LOPDGDD.” “CUARTO: QUE a los efectos previstos en el art. 64.2
9. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, las sanciones que pudieran corresponder serían de multas administrativas, de 50.000 euros por la infracción del artículo 9.2 del RGPD, de 10.000 euros por la infracción del artículo 6.1, de 25.000 euros por la infracción del artículo 6.1, en relación con el artículo 10 del RGPD, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/42 de 5.000 euros por la infracción del artículo 5.1.
10. c)del RGPD, sin perjuicio de lo que resulte de la instrucción.” SEXTO: Con fecha 6/02/2023, se reciben alegaciones de la reclamada, que manifiesta: 1) Cuenta con delegaciones en varias partes del territorio. La reclamante cursaba su formación en la Delegación de ***LOCALIDAD.1. La gestión administrativa “está centralizada en la sede de San Fernando Cádiz”. “Fruto de esa centralización puede dar lugar a desfases en la implantación de las distintas políticas organizativas, incluidas las de Protección de Datos.” La no efectiva implantación de procedimientos adecuados de actuación en la recogida y tratamiento de datos de carácter personal, en concreto de salud de los alumnos que cursan la formación de TCP, manifestada por la Agencia es “consecuencia directa de dicha dispersión geográfica”, a lo que se añade la “dificultad de la realización de controles presenciales en determinadas sedes al objeto de detectar in situ deficiencias como la referida de no haber actualizado el modelo de encuesta médica” y “que entendemos imputable a un fallo humano del personal”. A ello añade que los hechos se producen al salir de una pandemia. 2) Cuenta con un modelo de “encuesta médica”, que incluye cláusula relativa a la información sobre el tratamiento de los datos personales. Aporta copia de ANEXO 1 modelo de encuesta médica, titulada “declaración de salud”, idéntico al aportado por la reclamante, si bien la diferencia es que el ahora aportado en el pie del escrito figura: “información básica sobre Protección de Datos conforme al RGPD y a la LOPDGDD”. Entre otros extremos, se contiene: “finalidades: gestión administrativa y formativa del curso; los datos de salud solicitados a través del presente formulario serán tratados con la finalidad de la valoración por parte del centro de su idoneidad y del cumplimiento de los requisitos exigidos por Compañías Aéreas para el desarrollo de la profesión vinculada con la formación”. “Legitimación: consentimiento del interesado manifestado con la cumplimentación voluntaria del formulario y la firma en conformidad”. “Destinatarios no se cederán datos a terceros salvo obligación legal o consentimiento expreso por parte del interesado” Indica que, para obtener información ampliada y adicional, se acuda a su web, que indica. Indica que los fines de la “encuesta médica” “fueron informados claramente por el delegado comercial del centro de las Palmas, y es por ello por lo que “entendíamos, el consentimiento explícito de la reclamante en virtud del art 9.2 del RGPD con la cumplimentación de la encuesta y firma en conformidad.” A pesar de que se trata de una formación que implica un considerable desembolso económico, y de su finalidad, ha eliminado la “encuesta medica” como requisito para la matricula, destruyendo los documentos con tal contenido, procediendo a informar de los requisitos que debe cumplir un TCP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/42 3) En cuanto al “certificado médico clase C.C.” que solo consiste en APTO o NO APTO, solicitado con anterioridad al inicio del curso, AESA recomienda su obtención antes del inicio del curso. Acompaña anexo 2 de la web de AESA, en la que se ve información parcial que se encabeza con “certificados de TCP” en el que se informa que para obtener el certificado de TCP, corresponderá realizar y superar el curso de formación inicial en una organización de formación inicial de TCP autorizada, y luego, se añade: “es requisito para la emisión del certificado de TCP cumplir requisitos aero médicos, por lo que se recomienda obtener el certificado médico aeronáutico CC antes de iniciar el curso”. Sigue con el apartado de “como solicitar el certificado de TC” cuyo contenido ya no se muestra. Reitera que, aunque se imponga como obligatorio en el punto 6 de las condiciones generales, en el caso de la reclamante no fue tal, “en tanto que inicia el curso sin aportar el certificado”. Esta posibilidad está a disposición de todos los alumnos, de acuerdo con la modificación contractual que se contempla en el punto 13 de las condiciones generales del contrato de enseñanza. Manifiesta la reclamada que “tiene un modelo de escrito de renuncia a la cláusula 6 del contrato”. Aporta ANEXO 4, que consiste en un modelo de escrito normalizado, para casos en los que el alumnado no va a presentar el certificado médico C.C. antes del inicio del curso, en el que figura un espacio a cumplimentar a mano con los datos del alumno que comienza a modo de declaración con “Yo…” El escrito es idéntico al aportado por la reclamante en su reclamación relacionado con la cláusula 6 del contrato Asimismo, aporta “ejemplos de otros alumnos que optan por no presentar el certificado médico al comienzo del curso”. 4)-Sobre la falta de legitimación del tratamiento de la encuesta médica y certificado médico CC, “por entender que ambas peticiones no son necesarias para ejecución del contrato de enseñanza”, se ha de atender el “sentido amplio del contrato” en el que se incluye la fundada expectativa de incorporación a un puesto de trabajo al contar con “excelentes relaciones con las principales compañías aéreas “y el asesoramiento permanente”. Acompaña ANEXO 5, con:
11. a)Relación de algunos Alumnos contratados por Compañías Aéreas,
12. b)Copias parciales de Acuerdos de Colaboración formalizados con algunas compañías, en los que tienen como objeto que los alumnos formados en el centro puedan realizar prácticas laborales para completar su aprendizaje y obtener experiencia. No se contiene aspecto alguno del detalle sobre la obtención y o transmisión del certificado médico C.C.
13. c)Comunicados de la reclamada informando de procesos de selección abiertos, bien en sus propias delegaciones, bien al objeto de que los alumnos remitan su candidatura directamente a las compañías aéreas. Como ejemplo, en una oferta de VUELING como requisito exige “certificado médico EASA clase 2”(piloto privado). Indica que el resultado del reconocimiento médico tiene repercusiones que se plasman en contrato, al determinar que se obliga a devolver las cantidades del curso si el resultado es de NO APTO, excepto que la causa obedezca a consumo de estupefacientes en que se producirá la reserva de matrícula y la admisión en otra C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/42 promoción, sin explicar si estas consecuencias derivan de alguna norma legal aplicable de obligado cumplimiento. Manifiesta que “En tal sentido, los alumnos han aceptado estas obligaciones incluidas en el contrato y los alumnos en la casi totalidad pueden obtener el reembolso si son declarados no aptos y no pierden el tiempo y dedicación.” Aporta en ANEXO 6, casos de ejemplos en que tres alumnos son declarados NO APTOS en el reconocimiento médico aeronáutico y solicitan su baja en el curso (e mail 19/10/2021, otro de 26/02/21) y el reembolso de lo abonado, con archivo adjunto de “denegación del certificado médico”. En uno de los casos, petición de 6/05/2021, la propia alumna explica que es no apta por un positivo en “anfetamina”. El reclamado manifiesta que entendía que cumplía al haber obtenido el consentimiento señalado en el artículo 9.2 del RGPD con “la entrega por los alumnos de los certificados de reconocimientos médicos”. 5) Sobre la infracción del artículo 6.1 del RGPD en relación con el 10, por el tratamiento de datos de antecedentes penales, no se tratan tales datos, sino que los recaban las compañías aéreas, a las que pueden remitir a los alumnos para una entrevista concertada o facilitarle su inclusión en procesos selectivos de personal TCP. Manifiesta que aunque la reclamante aportó un documento en el que se contenía información que debe conocer el alumnado antes de comenzar el curso, y si bien se informaba erróneamente que el alumno deberá presentar dicho certificado al momento de matricularse , ello fue “un error en la redacción del modelo”, fácilmente constatable “en tanto que la propia reclamante formalizó su matrícula y no se le requirió la entrega ni tampoco se le emplazó para entregarlo con posterioridad a la matriculación”. 6) Sobre la infracción del artículo 5.1.
14. c)del RGPD, señala que esos datos se piden para la gestión administrativa, y que, dado que el coste de la formación es elevado, “algunos datos que se pedían no tenían otra finalidad que una somera valoración de la solvenciatrabajador por cuenta propia/ajena, pensionista, años trabajando, tipo de vivienda- y otros datos como empresa/teléfono se arrastran de modelos anteriores, y no son usados en la actualidad”. Aporta copia de ANEXO 7 que contiene el pago en modalidad de pago fraccionado a través de tarjetas de crédito emitidas por CAIXABANK y BANCO SANTANDER. 7) Señala que se han de tener en cuenta para la graduación de las sanciones: a)-Que la reclamante está en conflicto con el reclamado, porque solicitó el desistimiento del contrato en base a la ley de consumidores y usuarios, cuando había abonado 490 euros y había transcurrido el tiempo legalmente previsto para dicha opción, habiendo hecho uso del producto contratado pues se registra en el portal del alumno el 25/01/2022 y comenzó el curso el 28/01/2022. Cursó una reclamación también ante los Servicios de consumo que fue archivada el 29/06/2022, aporta copia en anexo 8 y de sus alegaciones en las que, entre otros aspectos, indica: “Con respecto a que se han vulnerado sus derechos de privacidad porque no se justifica que una escuela de azafatas pida datos médicos, ante esta afirmación, queremos dejar claro que a la alumna se le informa que para acceder al curso, como se detalla en el contrato y en folleto informativo, ha de superar un Reconocimiento Médico oficial específico siendo excluyentes los que se detallan en la Declaración de Salud, de ahí que si la alumna quería matricularse en nuestra escuela se recomienda en su propio beneficio manifestar su óptimo estado de salud previamente a fin de poder llevar a término el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/42 contrato o no, independientemente que después se confirmara con el APTO o NO APTO del reconocimiento médico oficial que realiza un médico acreditado por la Agencia Estatal de Seguridad Aérea (AESA). El hecho de que la AESA no lo exija para la realización del curso, no quiere decir que nuestra escuela no lo pueda exigir a través de médico homologado por la AESA para nuestros candidatos ya que las compañías aéreas sí exigen la presentación de dicho reconocimiento oficial para poder ejercer como Tripulante de Cabina de Pasajeros, siendo un sin sentido aceptar un candidato que no pueda ejercer la profesión tras pagar y realizar el curso porque tenga una patología excluyente, en contra de nuestros propios intereses económicos. La alumna se matricula con el Centro de Estudios Aeronáuticos, homologado por la AESA por lo que el centro respetando la normativa oficial está facultado para establecer los requisitos de realización de sus cursos. Señala que a la reclamante le devolvieron XXX euros, si bien abandonó una plaza sin cubrir ocasionando perjuicios. Sin embargo, en las respuestas a las alegaciones ante Consumo no se reconoce dicha devolución sino más bien lo contrario añadiéndose que se “transmita a la reclamante que en caso de persistir en su reclamación improcedente nos veremos obligados a acogernos al procedimiento de reconversión reactivando su contrato de enseñanza y reclamando su deuda dado el uso de un producto contratado usado y no pagado y a reclamar cuantas acciones legales sean pertinentes en concepto de daños y perjuicios “ Acompaña copia de ANEXO 9 que contiene el e mail de la reclamante de 11/02/2022 asunto “darme de baja” instando la “revocación “, junto con la “devolución del importe”, porque “es imposible continuar con el curso ni podría continuar con el pago”
15. b)Manifiesta que le es imposible hacer frente al abono de las sanciones y que se pone en riesgo la continuidad de la actividad. Desde la pandemia el servicio de transporte aéreo sufrió un desplome de demanda, que es difícil de superar, del que no saldrá sino a partir de 2026. La empresa actualmente está en perdidas, acompaña mod 200, de 2021 en anexo 11, “cuenta de pérdidas y ganancias” página 8, lo cual indica que es copia parcial. Se contiene en el apartado de “resultado de la cuenta de pérdidas y ganancias” -XXXXXXX. La hoja que acompaña refleja en su parte superior “ingresos financieros”
16. c)Ausencia de beneficios económicos como consecuencia de las infracciones imputadas, su finalidad era dar una formación de calidad.
17. d)Actuó de buena fe.
18. e)Han adoptado las siguientes medidas: - Modificación del modelo en el que se recogen datos de carácter personal de alumnos para limitarse a los estrictamente necesarios para las finalidades que se incluyen en el contrato de enseñanza. -Se ha actualizado la cláusula 12 “ información sobre Protección de Datos del contrato de enseñanza”. Acompaña en ANEXO 12: “modelo de matrícula y otros documentos modificados”. Las variaciones según se aprecia se producen en: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/42
19. a)Contrato de “prestación de servicios de enseñanza”. En relación con el presentado por la reclamante, el nuevo modelo que aporta ha variado en que no se precisa indicar los nombres y apellidos y NIF de los padres en el apartado datos del alumno. Se ha quitado el apartado de “otros datos del titular de la cuenta de cargo” que contenía espacios para rellenar los datos reflejados, de acuerdo con el modelo que se aportó en la reclamación por la reclamante y por la reclamada en respuesta al traslado. Se ha introducido la casilla de: “datos en caso de fraccionamiento de pago” con datos para marcar de: trabajador, desempleado, pensionista, y debajo: teléfono titular de la cuenta, dirección y población. En el apartado que se conserva de “domiciliación bancaria” aparece ahora el apartado “firma titular autorizado” que antes no figuraba.
20. a)Contrato, “Condiciones generales”: Comparando los ejemplares aportados por la reclamante y la reclamada en su respuesta al traslado, todas las cláusulas permanecen sin variación, incluyendo la 6, sobre presentación del certificado médico de clase CC con APTO y sus consecuencias y efectos. -En cuanto a la eventual variación de la cláusula 12 se detectan las siguientes variaciones: -En la finalidad, a la de la correcta gestión administrativa y formativa de los alumnos del centro se le suma la “orientación profesional, y tramitación de certificación” -La legitimación para los tratamientos no ha variado, se indica: cumplimiento de una obligación legal aplicable al responsable del tratamiento, ejecución de un contrato y consentimiento del interesado. -En el modelo de escrito que inicia con el literal “Documento que deben presentar los alumnos OBLIGATORIAMENTE para iniciar el curso en el momento de su matriculación o en su defecto antes de iniciar su curso de TCP…”, con la consecuencia de su falta “de no poder iniciar su curso”, “debiendo aplazar el curso a otra convocatoria siguiendo el procedimiento establecido.”, CONTINÚA indicando que si bien es la autoridad aeronáutica la que pide el DNI o pasaporte, se ha de ENVIAR a un E MAIL de la RECLAMADA, “antes de iniciar el curso” . En el citado documento, ya no figura que se debe carecer de antecedentes penales y que “deberá presentar el certificado de antecedentes penales al momento de matricularse”. -Como otras medidas de seguridad, indica que el acceso a toda la documentación relativa a los alumnos está limitada al personal autorizado, estando la documentación bajo llave. Acompaña anexo 13 fotografías de algunos de los dispositivos de archivo.
21. f)Total colaboración con la Agencia al dar respuestas a lo solicitado. SÉPTIMO: Con fecha 1/09/2022 tuvo entrada escrito de la empresa EUROCOLLEGE OXFORD ENGLISH INSTITUTE SL, NIF B11403094, que manifiesta ser la sociedad absorbente de la reclamada. Indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/42 Se ha recibido el 29/08/2023 e mail de aviso de disponibilidad en la DEHU de la reclamada, y que no se puede acceder porque no se dispone de certificado digital de la reclamada, ya que dicha Sociedad fue absorbida por EUROCOLLEGE OXFORD ENGLISH INSTITUTE SL, según escritura de fusión de 14/07/2023 y solicita que le sea notificada como sociedad absorbente. Aporta copia de la escritura de fusión por absorción otorgada ante notario el 14/07/2023. Con fecha 7/09/2023, se presenta otro escrito por EUROCOLLEGE OXFORD ENGLISH INSTITUTE SL, en el que indica: “Tras recibir notificación de la AEPD y proceder a presentar solicitud con numero de registro ***REGISTRO.1 informando y justificando documentalmente la reciente fusión por absorción de CENTRO DE ESTUDIOS AERONAÚTICOS con la empresa EUROCOLLEGE lo que nos imposibilita a acceder telemáticamente a la notificación practicada a través de certificado digital debido a su anulación reciente, solicitamos nos remitan copia del expediente de la notificación realizada dirigida a CENTRO DE ESTUDIOS AERONÁUTICOS por vía telemática dirigida a EUROCOLLEGE OXFORD ENGLISH INSTITUTE SL, de la cual está vigente el certificado electrónico para poder acceder a la misma, o en su defecto si así lo estiman por vía email o a través de nuestro domicilio social.” Presentamos nuevamente solicitud al respecto dentro del plazo de vencimiento establecido en la notificación previa de aviso de puesta a disposición al no constar nueva notificación al respecto.” Como quiera que en fecha 29/08/2023, se remitió la propuesta de resolución a la reclamada, teniendo noticia con posterioridad de la empresa EUROCOLLEGE OXFORD ENGLISH INSTITUTE SL, NIF B11403094, ha absorbido a la reclamada (fusión) y se ha extinguido, dado que la absorbente manifiesta que no puede acceder a la notificación, se redacta y envía la presente a la responsable absorbente, EUROCOLLEGE OXFORD ENGLISH INSTITUTE SL, NIF B11403094. OCTAVO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1) Para obtener la cualificación profesional de Tripulante de Cabina de Pasajeros (TCP) se necesita haber completado un curso de formación inicial que imparten las entidades autorizadas por la Agencia Estatal de Seguridad Aérea (AESA), la superación de un examen posterior que convoca dicha entidad y solicitar a esta el certificado. Las personas para poder optar al examen de la AESA deben ser presentadas a través de las organizaciones autorizadas en las que se ha llevado a cabo la correspondiente formación inicial. La reclamante suscribió con la reclamada un contrato de enseñanza el 21/01/2022 para el curso de formación inicial como TCP, siendo la reclamada una entidad de formación aeronáutica que dispone de autorización administrativa para realizar este curso. 2) En el contrato, se contienen diversos documentos, que se pueden diferenciar por su título y su contenido. En la parte denominada, “CONDICIONES GENERALES”, destaca: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/42 --En su cláusula 12, bajo el título “información sobre Protección de Datos”, como responsable consta la reclamada, y se informa que “el uso y tratamiento de datos se hace con la finalidad de la correcta gestión administrativa y formativa de los alumnos del centro, así como el envío de publicidad de los servicios del centro y con la legitimación del cumplimiento de una obligación legal aplicable al responsable del tratamiento, ejecución de un contrato y consentimiento del interesado. Se informa de los derechos que puede ejercitar y la sede a la que dirigirse, y que “puede consultar información adicional y detallada sobre Protección de Datos en nuestra página web ***URL.1”. Tras las alegaciones, la reclamada añadió en finalidades, la orientación profesional, y tramitación de certificación. -En su cláusula 6, se obliga, no se recomienda, ni se da opción, a que antes de la fecha del inicio del curso, el alumno “deberá presentar” certificado médico de clase C.C. (Cabin Crew) con la condición de APTO , so pena de no ser admitido en esa promoción previs ta. Las promociones están limitadas a un número concreto de plazas que autoriza la AESA y que según se deduce de lo manifestado por la reclamada, una vez ocupado por un alumno, si abandona antes de superar el curso, no puede ocupar otra persona. También figura en la cláusula 6 que, sí presentado el certificado antes del inicio del curso, hubiera abonado alguna cantidad por el curso, caso de resultar NO APTO, el reclamado se compromete “a devolver al alumno matriculado en un plazo no superior a dos meses los importes satisfechos”. Si fuera “NO APTO” por consumo de estupefacientes o cualquier otro tipo de drogadicción, se le guardará la matricula, y admitirá en otra promoción, hasta conseguir el APTO. De acuerdo con el Reglamento UE 1178/2011 de 3/11/2011, por el que se establecen requisitos técnicos y procedimientos administrativos relacionados con el personal de vuelo de la aviación civil en virtud del Reglamento (CE) n 216/2008 del Parlamento Europeo y del Consejo, correspondería a las Compañías Aéreas que requieren los servicios de personal TCP cuando van a contratarlos, exigir a la persona, que aporte certificado médico, clase C.C.(CABIN CERW) (Med. A.030 del que expiden médicos homologados por AESA. La reclamada adelanta una petición además en la que no informa a efectos de protección de datos que es competencia solicitarla a dichas Compañías e instrumenta la obligación de aportarla por contrato para el alumnado. En alegaciones al acuerdo de inicio, se constata que no se ha variado la cita clausula, continuando implantada la exigencia del certificado médico CC a los alumnos en la forma señalada. -En la cláusula 13 se alude a que “En caso de requerir el alumno alguna pretensión que implique cualquier tipo de modificación contractual deberá solicitar la autorización correspondiente exclusivamente por escrito y correo certificado” a una dirección que figura. En tal sentido, la reclamada dispone de un impreso normalizado que se relaciona con supuestos en que el alumnado no aporta el certificado médico clase CC que correlaciona con -renuncia a la cláusula 6-. El modelo fue aportado por la reclamante en su reclamación y por la reclamada en alegaciones al acuerdo, ANEXO 4. La reclamante y el reclamado indican que suscribieron dicho escrito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/42 --Cláusula 9.”Una vez superado el curso, el centro se obliga a gestionar la acreditación para el alumno considerado apto en las pruebas realizadas por el organismo competente, el cual expedirá el certificado en función a la normativa vigente, siendo facilitado al alumno una vez satisfechos los honorarios de enseñanza en su totalidad.” De acuerdo con las instrucciones para la petición de la acreditación de TCP que emite AESA, y con el Reglamento corresponde al interesado solicitar la misma. Ni para la aportación del certificado médico clase CC 3) En la copia de CONTRATO DE PRESTACIÓN DE SERVICIOS DE ENSEÑANZA se contienen los datos de la reclamante como “datos de alumno” de identificación, su NIF, estudios, (…). En el apartado de “otros datos del titular de la cuenta de cargo”, se recogen preguntas sobre tipo de empleo, o si es pensionista, (…), con casillas), tarjetas que posee (con casillas enumerando varias) (…), numero empleados, cargo, dirección y teléfono de la empresa, años que lleva trabajando. En alegaciones al acuerdo, la reclamada suprime el apartado de “otros datos del titular de la cuenta de cargo”, y en datos del alumno deja de solicitar los de los padres. 4) Le sigue otro documento titulado “DECLARACIÓN DE SALUD” con preguntas diferentes sobre salud y enfermedades (encuesta de salud) y a continuación con la respuesta para completar: sí o no, debiendo especificar el problema de salud y su tratamiento médico. El formulario aparece cumplimentado con los datos de la reclamante con la misma fecha que la de su matriculación. Según manifestación de la reclamante, no negada por la reclamada, como había manifestado su voluntad de no aportar el reconocimiento médico CC antes del inicio del curso, en su matriculación, rellenó el documento que se le presento por la reclamada de “declaración de salud”. En el citado documento que presenta reclamante no figura aspecto alguno sobre el tratamiento de estos datos. De acuerdo con la reclamada tenía “como finalidad detectar patologías excluyentes para el ejercicio de la profesión vinculada a la formación”. En alegaciones, la reclamada aportó el mismo documento conteniendo “información sobre protección de datos” informando que la base legitimadora es el “consentimiento del alumno”, que deriva por la “cumplimentación y su firma” que supone conformidad, si bien como se indicó no se contenía inicialmente en el modelo de la reclamada información alguna sobre protección de datos, ni tampoco con el aportado, la consecuente opción de no otorgar el consentimiento y sus efectos. También informaba que su recogida tenía como finalidad “la valoración del centro de su idoneidad y cumplimiento exigido por las Compañías aéreas” que en el futuro puedan contratar al alumno, por lo que tal como se plantea carecería de competencia propia su exigibilidad directa por la reclamada a efectos de protección de datos como requisito exigible contractualmente. En alegaciones, la reclamada manifestó haber suprimido la exigencia de cumplimentar el citado documento. 5) En el documento de la reclamada, modelo que inicia con el literal “Documento que deben presentar los alumnos OBLIGATORIAMENTE para iniciar el curso en el momento de su matriculación o en su defecto antes de iniciar su curso de TCP…”, con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/42 consecuencia de su falta “de no poder iniciar su curso”, “debiendo aplazar el curso a otra convocatoria siguiendo el procedimiento establecido.”, se indica que “la autoridad aeronáutica solicita -DNI -pasaporte ,si bien se insta a “remitir la documentación antes de dicho inicio de curso a un e mail de la reclamada.” También se informa que “Debe carecer de antecedentes penales (deberá presentar certificado de antecedentes penales al momento de matricularse” De acuerdo con el Reglamento UE 11782/2011 de 3/11/2011, la autoridad competente para la expedición de un certificado de miembro de TCP la designa cada Estado miembro, y en el caso de España, fue la AESA, que “solo se expedirán a los solicitantes que hayan superado el examen posterior a la finalización del curso de formación inicial”. Existe un documento oficial de AESA “solicitud de certificado de tripulante de cabina de pasajeros” en el que se han de cumplimentar datos del solicitante y figura el literal informativo de protección de datos, solicitando esta que se ha de aportar copia de DNI o pasaporte. Tras las alegaciones, continúa la reclamada indicando que si bien es la autoridad aeronáutica la que pide el DNI o pasaporte, se ha de enviar a un E MAIL a una dirección de la RECLAMADA, “antes de iniciar el curso” 6) En cuanto a la petición de antecedentes penales, no responde a un requerimiento propio del centro, aunque se incluya en la información sobre el curso, sino que obedece a un requisito de AESA para el acceso a determinadas zonas de los aeropuertos, resolución de 9/07/2019 de la Secretaría General del Transporte por la que se establece la comprobación de antecedentes personales como una comprobación registrada de la identidad de una persona incluidos los antecedentes penales como parte de la evaluación de la idoneidad de un individuo para tener libre acceso a las zonas restringidas de seguridad. En el citado documento, tras las alegaciones ya no figura que se debe carecer de antecedentes penales y que “deberá presentar el certificado de antecedentes penales al momento de matricularse”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/42 subsidiario, por las normas generales sobre los procedimientos administrativos." II De acuerdo con la información que obra en seguridadaerea.gob.es, el Anexo V (Parte CC) del REGLAMENTO (UE) nº 1178/2011 de la Comisión de 3/11/2011 por el que se establecen requisitos técnicos y procedimientos administrativos relacionados con el personal de vuelo de la aviación civil en virtud del Reglamento (CE) nº 216/2008 del Parlamento Europeo y del Consejo, establece los requisitos para la cualificación de los tripulantes de cabina de pasajeros que participan en operaciones de transporte aéreo comercial, dentro del ámbito regulado por la EASA (European Union Aviation Safety Agency). Según se establece en la normativa, el ejercicio de las correspondientes atribuciones requiere la disposición de un certificado, cuya obtención está supeditada a las siguientes condiciones:  Realización de un curso de formación inicial que habrá de completar con éxito para la adquisición de los conocimientos y habilidades básicos que requiere el desempeño de las funciones propias del TCP.  Superación de un examen posterior a la finalización del curso, destinado a evaluar la consecución de los pertinentes objetivos de competencia. El entrenamiento inicial en cuestión deberá ser completado en organizaciones que dispongan de una aprobación específica para su impartición. Dicha aprobación será proporcionada por la correspondiente autoridad competente en base a unos requisitos de adecuación del programa didáctico, los dispositivos necesarios para la formación y el cuadro docente. En España, la Agencia Estatal de Seguridad Aérea (AESA) se constituye como autoridad competente responsable de llevar a cabo la gestión de los procesos evaluadores exigidos para la obtención del certificado de TCP. Los elementos que componen el examen y las pautas para su realización se encuentran recogidos en el documento “Especificaciones de curso y examen de AESA para la Formación Inicial de TCP1.” Superado el examen, se debe solicitar el certificado de TCP a través de instancia y documentación de la AESA, que requiere complementar diversos datos: nombre y apellidos, copia de DNI o de pasaporte, y firma del solicitante, siendo responsable del tratamiento AESA. En relación a la validez del certificado de miembro de tripulación de cabina de pasajeros, los certificados de miembro de tripulación de cabina de pasajeros se expedirán con duración ilimitada y conservarán su validez, salvo que:
22. a)sean suspendidos o revocados por la autoridad competente, o
23. b)su titular no haya ejercido las atribuciones correspondientes durante los 60 meses anteriores en al menos un tipo de aeronave. Dentro de la normativa vigente que resulta de aplicación y de las especificas atribuciones, finalidades y competencias que ostenta la reclamada como entidad de formación inicial cuyo curso se ha de superar como escalón previo al examen en la entidad oficial AESA, se va a examinar si la inclusión en contrato de enseñanza que se revela en sus diversos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/42 documentos, al momento de la reclamación, se adecua a la normativa de protección de datos. Se ha de añadir que la profesión de TCP se desempeña en aviones que son titularidad de las Compañías aéreas, operador aéreo por lo que un tercer afectado también juega un papel en el rol de autorizaciones y permisos. III El artículo 4 del RGPD define: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” […]” 1) “tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” […]” 7) “responsable del tratamiento o responsable: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” […]” 15) «datos relativos a la salud»: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud;” La reclamada recoge datos en su contrato de formación, algunos directa y claramente relacionados con la gestión del desenvolvimiento de la relación constituida por el curso de TCP, homologado en cuanto a las materias formativas por la AEASA, La reclamada recoge datos básicos para la gestión del curso, pero recoge otros sobre los que se ha de valorar si es la competente o destinataria para poder recogerlos, es decir, si está facultada legalmente para exigir los datos vía contrato, de forma obligatoria, considerando la aplicación del Reglamento Las bases de legitimación del tratamiento de datos se hallan en el artículo 6.1 del RGPD, esto es, las condiciones para un tratamiento lícito de datos personales. Se describen seis bases lícitas en las que puede basarse el responsable del tratamiento. La aplicación de una de estas seis bases debe establecerse antes de la actividad de tratamiento y en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/42 relación con un objetivo específico. Indica el artículo 6.1 “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
24. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
25. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
26. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
27. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
28. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
29. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
30. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Ese tratamiento lícito tendrá que ir relacionado con el fin que se pretende conseguir con el tratamiento de datos llevado a cabo, que se prevé como principio en el artículo 5 del RGPD, entre otros, al indicarse que “Los datos personales serán:
31. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
32. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»); La finalidad del tratamiento de datos deberá definirse de forma visible antes de que comience el tratamiento. “
33. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);” Únicamente se tratarán los datos que sean “adecuados, pertinentes y no excesivos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/42 relación con el fin para el que se obtienen o tratan”. Las categorías de datos seleccionados para ser tratados deberán ser necesarias para lograr el objetivo general declarado de las operaciones de tratamiento, y el responsable del tratamiento deberá limitar la obtención de datos estrictamente a la información que resulte directamente pertinente para la finalidad específica perseguida por el tratamiento. Este principio deriva en la obligación de reducir al mínimo la recopilación de datos. La reclamada ha indicado que trata los datos que recoge con la finalidad de: - gestión administrativa y formativa de los alumnos del centro, así como el -envío de publicidad de los servicios del centro y con la legitimación del cumplimiento de una obligación legal aplicable al responsable del tratamiento, ejecución de un contrato y consentimiento del interesado. En cuanto al cumplimiento de una obligación legal, se desconoce cuál pueda ser esta y en que acto de tratamiento se hallaría incluido. IV La reclamada en las condiciones generales del contrato, Cláusula 6 establece: “Antes de la fecha del inicio del curso, el alumno deberá presentar el certificado médico de clase CC” y en documento aparte, que según su título indica, “deben presentar los alumnos obligatoriamente para iniciar el curso en el momento de su matriculación o en su defecto antes de iniciar su curso de tripulante de cabina de pasajeros. En caso de no presentar el correspondiente documento el alumno no podrá iniciar su curso debiendo aplazar el curso a otra convocatoria.” Obligación que igualmente queda clara su exigencia en la información que al respecto firma la reclamante, aportada como anexo 3 por la reclamada Según el considerando 35: “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.” Especifica la reclamada que el certificado médico de clase CC (CABIN CREW) MED A030 se recoge en el reglamento 1178/ 2011, indicando que es un requisito del contrato que se suscribe, dado que “es un requisito para la obtención de la licencia de TCP sin la cual no se podrá ejercer la profesión vinculada al curso, al ser exigible por las compañías aéreas.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/42 Parece que el requisito se retrasaría pues al momento de la obtención de la licencia, y en concreto al momento del ejercicio de la profesión, en el momento del contrato. El citado reglamento, dedica: -artículo 11, “aptitud psicofísica de la tripulación de Cabina” -artículo 11 bis, “cualificaciones de la TCP y certificados correspondientes” -subparte c de la parte MED.A005, “requisitos de aptitud psicofísica para la tripulación de cabina, indica MED.C.005 Evaluaciones aeromédicas”: Requisitos generales: “MED.C.001 General “Los miembros de la tripulación de cabina solamente podrán realizar las tareas y responsabilidades a bordo de una aeronave que prescriben las normas de seguridad aérea si cumplen los requisitos pertinentes de la presente Parte.” MED.C.005 Evaluaciones aeromédicas: “
34. a)Los miembros de la tripulación de cabina se someterán a evaluaciones aeromédicas para comprobar que no padecen ninguna enfermedad, física o mental, que pudiera provocar incapacitación o impedir la realización de las tareas de seguridad y responsabilidades asignadas.
35. b)Todo tripulante de cabina deberá someterse a una evaluación aeromédica antes de ser asignado por primera vez a realizar tareas a bordo de una aeronave, y posteriormente a intervalos máximos de 60 meses.” “SECCIÓN 3, Requisitos adicionales para los solicitantes o titulares de un certificado de tripulante de cabina, MED.C.030 Informe médico de la tripulación de cabina:
36. a)Después de cada evaluación aeromédica, los solicitantes o titulares de un certificado de tripulante de cabina: 1) recibirán un informe médico de la tripulación de cabina elaborado por el AME, AMC u OHMP, y 2) transmitirán la información correspondiente, o una copia de su informe médico de la tripulación de cabina, al operador u operadores que contraten sus servicios.
37. b)Informe médico de la tripulación de cabina El informe médico de la tripulación de cabina deberá indicar la fecha de la evaluación aeromédica, la calificación como apto o no apto del tripulante de cabina, la fecha de la siguiente evaluación aeromédica requerida y, cuando proceda, la limitación o limitaciones aplicables. Cualquier otro aspecto quedará sujeto a la confidencialidad médica de conformidad con MED.A.015.” Ya en la parte del ANEXO V “cualificación de la TCP que PARTICIPE EN OPERACIONES DE TRANSPORTE AÉREO COMERCIAL” se indica la autoridad competente para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/42 expedición de un certificado de TCP será la que designe el Estado miembro, en el caso de España, fue la AESA, precisando el Reglamento que “La solicitud de un certificado de miembro de tripulación de cabina de pasajeros se realizará en la forma y manera establecida por la autoridad competente.” SUBPARTE CCA-REQUISITOS ESPECÍFICOS PARA LA CERTIFICACIÓN DE TRIPULACIÓN DE CABINA DE PASAJEROS-CC.CCA.100 Expedición del certificado de miembro de tripulación de cabina de pasajeros “
38. a)Los certificados de miembro de tripulación de cabina de pasajeros solo se expedirán a los solicitantes que hayan superado el examen posterior a la finalización del curso de formación inicial de acuerdo con la presente parte.
39. b)Expedirá los certificados de miembro de tripulación de cabina de pasajeros: 1) la autoridad competente, o 2) una organización aprobada para ello por la autoridad competente. Es decir, los requisitos del certificado médico se previenen para los titulares de un certificado, y los alumnos aún no lo son, y como destinatarios de dicha información, o facultados para obtenerla, se señala al “operador u operadores que contraten sus servicios”, que no resulta ser la escuela de formación. En cuanto a la emisión de los certificados se deduce de la normativa citada que lo emite la entidad autorizad, AESA, al solicitante, alumno. En tal sentido existe un documento oficial de AESA “solicitud de certificado de tripulante de cabina de pasajeros” en el que se han de cumplimentar datos del solicitante y figura el literal informativo de protección de datos. Además, un certificado de TCP otorgado a su titular tiene duración ilimitada, y podría aplazar el tiempo en el que decida ofertar sus servicios, con lo cual tampoco habría de presentar ese certificado. En todo caso, la reclamada no está legalmente facultada para exigir dichos certificados. En ninguno de los dos casos se produce una subrogación legal a las escuelas de formación para solicitar y obtener el certificado médico CC o el certificado de TCP, para el que la reclamada pide copia del DNI original que ha de enviar a su e mail. Esta cuestión que no es de la competencia de la escuela reclamada, podría entrar en la nueva finalidad de “tramitación de la certificación”, pese a su falta de obligatoriedad legal exigible por la reclamada y relación con la cláusula 9 que señala que, superado el curso, “el centro se obliga a gestionar la acreditación para el alumno considerado apto en las pruebas realizadas por el organismo competente…siendo facilitado al alumno una vez satisfechos los honorarios de enseñanza en su totalidad”. Como consecuencia, se extrae que no permite al alumnado motu proprio instar la petición y tramitación de la expedición del certificado de TCP de AESA, sino que se impone una delegación obligatoria a través de esta cláusula. Se podría pensar que se intenta ofrecer una labor de facilitación de la tramitación, si bien se fuerza a la aceptación vía cláusula del contrato, algo que de partida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/42 debería ser voluntario. Se fuerza así al tratamiento vía contractual de un tratamiento que podría instaurarse vía voluntaria a través del consentimiento, pero en todo caso no resulta aceptable como condición necesaria para el cumplimiento de la relación contractual, sino una imposición. Estas consideraciones no pretenden interpretar el contrato, reconociendo que no es materia de la AEPD, sino que saca las conclusiones lógicas y racionales de la instauración de las mismas y a efectos solo de la materia de protección de datos, cuestión que compete a esta AEPD. Ello no quiere decir que no podría solicitar el permiso a los usuarios que voluntariamente consintieran tal opción, ofreciendo una información de protección de datos clara para obtener un consentimiento libre, sin perjuicios para los que decidieran no aportarlo. Son embargo la reclamada exige de modo obligatorio ambos elementos a nivel de contrato Se han impuesto, así como obligatorias, unas medidas las de aportar un certificado médico a la escuela, cuando no es la destinaria legalmente establecida de dicho certificado, ni está facultada para su exigencia y obtención. En el mismo sentido la copia del DNI a efectos de obtener el certificado. Es decir, la constancia en el contrato como requisitos obligatorios, no se corresponden con una vinculatoriedad exigible en el clausulado y cono tal no se ajusta a la base jurídica legitimadora tal como se encuentra instrumentada, para el tratamiento de ese certificado médico y del DNI. Por otro lado, en cuanto a la encuesta de datos de salud, tipo respuestas si-no, con ampliación para detallar en su caso el problema de salud, según la reclamada, tiene la finalidad, o el objetivo de detectar patologías excluyentes para el ejercicio de la profesión, pero va más allá de la información y transparencia que dice pretende conseguir, para que el alumno pueda decidir sobre la idoneidad de los estudios que va a realizar, pues recoge datos de salud. El hecho de que la reclamante rellenara voluntariamente el mismo, per se, no implica que contuviera los elementos adecuados que implican el tratamiento de sus datos con consentimiento expreso y no le otorga a la reclamada legitimación en el tratamiento de dichos datos, no siendo ese acto la obtención de un consentimiento informado y libre y válido, por cuanto además se ha de prever y ofrecer la opción de no otorgar el citado consentimiento y no sufrir perjuicio alguno por ello. El RGPD establece un concepto muy amplio de los datos de salud, y le otorga un régimen específico, el correspondiente a las denominadas “categorías especiales de datos” a que se refiere el artículo 9 del texto normativo. Se denominan de esa manera porque su tratamiento implica situaciones en las que surge un riesgo grave de protección de datos, por las consecuencias de que su uso indebido puede tener para las personas, y se consideran tan perjudiciales que su tratamiento está prohibido a menos que se aplique una excepción. Este artículo 9 RGPD establece en su apartado 1 una prohibición general para el tratamiento de estos datos “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.”, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/42 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes: … Es decir, para estos datos de salud entre los que se encuadran en este caso los de los reconocimientos médicos clase CC cosechados del alumnado y las encuestas de declaración de datos médicos, además de tener una base legitima de tratamiento para cada una, ha de acreditar también para cada una, que le ampara una circunstancia que levante el tratamiento prohibido que señala alguno de los puntos que siguen a este artículo 9.2 del RGPD como excepciones a la posibilidad del tratamiento, que, relacionadas con el caso, por poder guardar relación con el tratamiento de datos de salud, se citan, todas ellas dentro del artículo 9.2: “
40. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado; […]”
41. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
42. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
43. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional” La reclamada anticipa los requerimientos profesionales que tras la obtención del certificado se van a exigir, u como en el caso de la reclamante, obtiene una amplia declaración con variados elementos de salud, para presuntamente asegurar que no será impedimento el acceso profesional. Ello no parece proporcional ni necesario. En ambos supuestos, se estima que no concurre circunstancia que levante la prohibición para tratar los datos de salud del certificado médico Clase C.C. (Cabin Crew) (MED.A.030 de Reglamento (UE) 1178/2011) para los TCP, ni de los datos incluidos en la encuesta de salud, considerando que la reclamada ha infringido el artículo 9.2 del RGPD. Sobre la alegación de que AESA recomendaba la obtención del certificado médico antes del inicio del curso, ello es distinto de la forma en que lo instrumenta la reclamada, como obligación que establece en contrato, sin base legitimadora alegada como válida por cuanto tampoco es la competente o destinataria de dicho certificado. Sobre que el certificado médico solo tiene el dato de APTO o no APTO, en ambos casos reflejan datos de salud, buena o mala, y más con el carácter y alcance con el que se practican los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/42 reconocimientos, que vienen reflejados en el Reglamento ya citado y se puede entender el alcance de superar dichas pruebas que contiene datos de salud. Tas las alegaciones solo se ha descartado la petición de la “declaración médica”, continuando en vigor la obligatoriedad inicial de aportar el certificado médico C.C. V Además, como se ha señalado, debe concurrir acumulativamente para el tratamiento de esos datos de salud, alguna de las causas de legitimación del artículo 6.1 del RGPD, pues las causas que pudieran concurrir para el levantamiento de las prohibiciones del tratamiento de los datos de salud por si solas no constituyen bases de legitimación para el tratamiento de esos datos. En este sentido, la aplicabilidad de las excepciones del artículo 9.2
44. a)a
45. j)del RGPD, no excluye la aplicabilidad de los requisitos del artículo 6.1 del RGPD, y ambos cuando así proceda, deberán aplicarse acumulativamente. Ello se traduce en la práctica en que, aunque se acreditara que en el caso concreto existiera alguna circunstancia que levantara la prohibición de tratamiento de los datos de salud, no es suficiente para su legalidad, exigiéndose un fundamento jurídico de los que señala el artículo 6.1 del RGPD que establece de modo excluyente, que “el tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones”. En este caso, para el alumnado sobre los que se recogen y tratan los datos descansa en el artículo 6.1.
46. b)del RGPD:” el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;”. Sin embargo, no se estima que sea una base legitimadora adecuada para que la reclamada solicite de forma anticipada los requerimientos sobre datos médicos que a futuro se pueden exigir o requerir por otros sujetos, o a modo de anticiparse incluso a ese test para efectuar un completo test de salud con preguntas incluyendo adicionales a modo explicativo. Tampoco concurriría el cumplimiento de una obligación legal pues como se examinó, el Reglamento de la UE que es aplicable al hecho no prevé la posibilidad de que los centros de formación sean los que puedan exigir estos datos de salud. Así pues, se acredita la infracción del citado artículo 6.1 del RGPD. VI En cuanto a la petición obligatoria en el trámite de la matriculación de la reclamada, mediante la suscripción del contrato de enseñanza, de un certificado de antecedentes penales, se debe valorar su legitimidad. El artículo 5.1.
47. a)del RGPD, sobre los Principios relativos al tratamiento, establece que los datos personales serán “tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»)” y el artículo 6.1 concreta los supuestos en que el tratamiento será lícito. Esta recogida de datos, conservación y entrega al destinatario legalmente señalado constituye un tratamiento de datos relativos a condenas e infracciones penales, incluso si el certificado es de ausencia de antecedentes penales. A los efectos del artículo 4.1 del RGPD, trata de una "información sobre una persona física identificada" tanto si se trata de la existencia de registros positivos como negativos (ausencia). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/42 El artículo 10 del RGPD Indica: “El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1, sólo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas.” La LOPDGDD en su artículo 10, añade: “1. El tratamiento de datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal. 2. El registro completo de los datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas a que se refiere el artículo 10 del Reglamento (UE) 2016/679, podrá realizarse conforme con lo establecido en la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia. 3. Fuera de los supuestos señalados en los apartados anteriores, los tratamientos de datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas solo serán posibles cuando sean llevados a cabo por abogados y procuradores y tengan por objeto recoger la información facilitada por sus clientes para el ejercicio de sus funciones.” En el escrito que comienza con “documento que deben presentar los alumnos obligatoriamente para iniciar el curso en el momento de su matriculación...” se menciona que “debe carecer de antecedentes penales”, pero, además, que “deberá presentar certificado de antecedentes penales al momento de matricularse”. Como otros requisitos que la reclamada incorpora a las exigencias contractuales, también el modo en exigirlo, de forma imperativa, supone no solo que no es competencia de la reclamada su obtención, sino que tal como se exige, no se dispone de base legitimadora para su tratamiento, ya que ni el tratamiento es necesario para la ejecución del contrato de formación inicial del curso de TCP, (art 6.1b del RGPD) ni “para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”, ni por último, es posible el consentimiento. Ante la alegación de la reclamada de que este certificado no se recogió de la reclamante, no así en su respuesta al traslado de la reclamación, de ahí su falta de carácter concluyente como manifestación de parte, resulta obvia su exigencia al figurar por escrito y su tratamiento en la expresa y clara determinación del literal, siendo una muestra de su irregularidad que ese requisito se ha eliminado, según se declara en alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/42 Se infiere que el tratamiento de datos de carácter penal se encomienda a los poderes públicos y sólo con carácter excepcional podrá realizarse dicho tratamiento por los particulares cuando una norma del Derecho Europeo o una norma nacional con rango de ley así lo dispongan (con la salvedad del tratamiento por parte de abogados y procuradores en virtud del apartado 3 del artículo 10 de la LOPDGDD).Hay que remitirse al punto 4 de la Resolución de 9/07/2019, de la Secretaría General de Transporte, por la que se modifica la parte pública del Programa Nacional de Seguridad para la Aviación Civil, aprobado por Resolución de 1/02/2019 que en su artículo 4 indica: “En el ámbito de aplicación del presente procedimiento se define la comprobación de antecedentes personales como una comprobación registrada de la identidad de una persona, incluidos los antecedentes penales, como parte de la evaluación de la idoneidad de un individuo para tener libre acceso a las zonas restringidas de seguridad