PS-00541-2022

1/96 Expediente N.º: EXP202201608 Contenido ANTECEDENTES.......................................................................................................... 2 PRIMERO: Presentación de la reclamación............................................................... 2 SEGUNDO: Evidencias obtenidas para análisis de admisibilidad.............................. 3 TERCERO: Traslado de la reclamación..................................................................... 3 CUARTO: Admisión a trámite de 29/04/2022........................................................... 13 QUINTO: Consulta a Informe mercantil de la empresa reclamada........................... 13 SEXTO: Antecedentes registrados de la reclamada en la aplicación de gestión de expedientes de la AEPD SIGRID.............................................................................. 13 SÉPTIMO: Acuerdo de inicio de procedimiento sancionador, de 5/06/2023.............14 OCTAVO: Alegaciones de la reclamada de 27/06/2023............................................ 14 NOVENO: Primera ampliación de alegaciones, de fecha 11/10/2023...................... 26 DÉCIMO: Segunda ampliación de alegaciones, de fecha 21/11/2023...................... 30 DÉCIMOPRIMERO: Emisión de propuesta de resolución de 12/03/2024................32 DÉCIMOSEGUNDO: Alegaciones a la propuesta de resolución presentadas el 8/04/2024................................................................................................................. 32 HECHOS PROBADOS................................................................................................ 38 FUNDAMENTOS DE DERECHO................................................................................. 48 I Competencia....................................................................................................... 48 II Cuestiones preliminares.................................................................................... 49 III Sobre el tratamiento de datos de salud............................................................. 52 IV Sobre las alegaciones a la propuesta de resolución......................................... 59 V Obligación incumplida del art 9 RGPD.............................................................. 63 VI Obligación incumplida del art. 6.1 RGPD......................................................... 70 VII Obligación incumplida del art 14 del RGPD..................................................... 78 VIII Tipificación y calificación de las infracciones.................................................. 84 IX Determinación de la sanción............................................................................ 85 RESUELVE:................................................................................................................. 92 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/96 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Presentación de la reclamación A.A.A., (en adelante, la parte reclamante) con fecha 29/01/2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra GSMA LIMITED con NIF N4004237F (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El reclamante manifiesta que los trabajadores de las empresas que han de realizar trabajos en el recinto de la FIRA de Barcelona, durante la celebración del MOBILE WORLD CONGRESS (MWC 2022), han recibido instrucciones de la empresa organizadora, GSMA, y FIRA DE BARCELONA, debiendo inscribirse en una aplicación informática para poder acceder al mismo. En tal sentido, la entidad reclamada, remitió el 20/01/2022, un correo electrónico a los proveedores de MWC 2022, para informarles que sus trabajadores deberán subir al sistema su pasaporte COVID o equivalentes. El reclamante indica, que ni la reclamada, ni FIRA se encuentran legitimadas para solicitar a terceros información sanitaria sobre su vacunación o estado de salud, que en caso de no aportarse implicaría no poder entrar y, por tanto, no poder desarrollar la prestación laboral. Junto a la reclamación, aporta dos copias de correo electrónico: 1) Correo electrónico de 20/01/2022, procedente de una persona con dominio de FIRA de Barcelona (FIRA en lo sucesivo), dirigido a proveedores, asunto: ”instrucciones para registro de proveedores FIRA de Barcelona para MWC 2022”,”mediante este e mail electrónico os queremos informar del sistema de acreditaciones para el MWC22 ya está activo para todos los proveedores de FIRA BARCELONA”, ”con la misma plataforma de pase digital que el año pasado”, por tanto: -”Habrá un sistema web donde a cada proveedor se le creará una cuenta por FIRA, donde deberá auto gestionarse sus pases”, para ello, se deberán enviar los datos de la persona que gestionará la cuenta- a una dirección de correo electrónico de FIRA-. Esa persona, será el contacto en los “pases de todos los empleados dados de alta en el sistema a nombre de su empresa”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/96 Hay un apartado referido a “pasaporte COVID y test antígenos”, en el que se indica que: “cuando inicien sesión por primera vez vuestros trabajadores, tendrán que crear una contraseña, y luego subir uno de los siguientes documentos para su validación: -Certificado de vacunación COVID 19 -Certificado de recuperación de COVID 19 -Prueba negativa de test valido de COVID 19, realizado en las últimas 72 horas en cualquiera de los periodos (montaje, celebración & desmontaje). 2) Correo electrónico de 21/01/2022, remitido por una persona desde dirección con dominio”firabarcelona.com”, dirigido a un equipo con el mismo dominio, asunto:” acceso GV anticipación MWC”. Informa sobre accesos por puerta 4, al recinto de Gran Vía, entre el 23/01 y el 7/02, de distinto colectivo de personas, visitas y vehículos, entre los que se incluyen empleados de FIRA, colaboradores y portadores de accesos permanentes y anuales a los recintos de FIRA. Refiere un “control sanitario para acceder a stands de MWC en construcción”, que identifica, ”presentando pasaporte COVID o en su defecto, una prueba COVID negativa avalada por un laboratorio autorizado”. “A partir del 8 de febrero, se avanzan los perímetros de seguridad y se adoptan para todo el recinto de Gran Vía las medidas sanitarias y de acceso a MWC establecidas por GSMA. Que son similares a las de la edición anterior, se ha de subir a una plataforma digital documentación para obtener el pase de acceso al evento en todos sus períodos hasta el 8 de marzo. Recibiremos información detallada al respecto de cómo gestionar el pase de MWC.” SEGUNDO: Evidencias obtenidas para análisis de admisibilidad. Por la AEPD, se recaban las siguientes evidencias: -POLÍTICA DE PRIVACIDAD GSMA/MWC BARCELONA 2022-Última actualización 29/04/2021, que según indica, se aplica al tratamiento de datos personales de los participantes en el Congreso. -Política de privacidad de FIRA DE BARCELONA, y sus empresas participadas, obtenidas en su página web. No se menciona a los empleados de proveedores. TERCERO: Traslado de la reclamación. De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a GSMC EVENT PROJECT MANAGEMENT SL B64828973, filial de la reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos, respecto a la reclamación en la que se manifiesta que los trabajadores de las empresas que han de realizar trabajos durante la celebración del Mobile World Congress (MWC) 2022 en el recinto de la Fira de Barcelona deben obtener unas acreditaciones para poder acceder al mismo, proporcionando datos de salud (COVID 19), dando noticia de los correos electrónicos del antecedente primero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/96 El traslado que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), no fue recogido por el responsable dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP, en fecha 5/03/2022. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal, que fue notificada fehacientemente en fecha 21/03/2022. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaba de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. - Con fecha 25/04/2022, GSMC EVENT PROJECT MANAGEMENT, S.L responde a las cuestiones lo siguiente: 1.“Nombre y apellidos o la denominación social del responsable del tratamiento de los datos de salud relativos al pasaporte COVID y test de antígenos que se solicitan en el marco de la Mobile World Congress Barcelona 2022, así como el NIF y dirección de contacto de dicho responsable.” Responde que “El responsable del tratamiento de los datos de carácter personal relativos a los asistentes al MWC22, incluyendo los datos de salud que, de manera excepcional, por razón de la COVID19, se solicitaron durante el MWC22, es la entidad: GSMA Ltd. Armour Yards, 165 Ottley Drive, Suite 203 Atlanta, GA, 30324 USA EIN (Employer Identification Number): 20-4991061. Proporciona también su correo electrónico de contacto. 2.“Si el responsable se encuentra establecido fuera del EEE, dirección postal de su representante en la Unión Europea.” Responde que:” GSMA Ltd. (en adelante,” GSMA” u “Organización”) se encuentra establecida en Estados Unidos. GSMC es una sociedad española, 100% participada por GSMA, creada específicamente para prestar servicios relacionados con la gestión de los eventos de GSMA, incluido el MWC de Barcelona (por ejemplo, servicios de traducción, estancias, etc.). Los tratamientos de datos llevados a cabo por GSMA están inextricablemente vinculados a los tratamientos llevados a cabo por GSMC. Por ello, GSMA trata datos personales en el contexto de actividades de un establecimiento en la Unión Europea por lo que se encuentra sujeta al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante,” Reglamento General de Protección de Datos” o ”RGPD”) bajo el Artículo 3.1 del mismo y por ello, no se requiere el establecimiento de un representante en la Unión Europea.” 3.”Indicar si existe alguna relación de responsable o corresponsable y encargado del tratamiento entre GSMA LTD, GSMA Event Project Management, S.L. y la FIRA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/96 INTERNACIONAL DE BARCELONA, en el marco de la Mobile World Congress Barcelona 2022.” Responde: GSMA Ltd. tiene la condición de responsable de tratamiento de los datos de los asistentes al MWC22. GSMC no ostenta condición de responsable o encargado de tratamiento en relación con los datos que son objeto de la presente reclamación. FIRA ostenta frente a GSMA la condición de contratista principal y, en muchos casos, exclusivo, de muchos de los servicios y suministros que deben prestarse en el marco del MWC. En consecuencia, en el marco de esta relación “cliente - proveedor”, desde el punto de vista de la normativa en materia de protección de datos de carácter personal, FIRA actúa como encargada de tratamiento en nombre y por cuenta de GSMA Ltd., que actúa como responsable, a cuyo efecto ambas partes han suscrito el correspondiente contrato de encargo de tratamiento de datos al amparo de lo previsto en el artículo 28 del RGPD.” “Es preciso introducir a un cuarto agente, no mencionado en la reclamación, cuya intervención en la edición del MWC22 ha sido de vital importancia para garantizar la salud y la seguridad de todas aquellas personas involucradas en el MWC tras la aparición de la COVID-19 (en adelante,”COVID-19” o “la pandemia”). Nos referimos a la empresa QUIRONPREVENCIÓN (QP en lo sucesivo). QP, el proveedor de servicios médicos de GSMA para el MWC, tiene la consideración de subencargado de tratamiento de datos de carácter personal en virtud del contrato de encargo de tratamiento de datos suscrito con FIRA. La razón por la que GSMA se asoció con un proveedor de servicios médicos líder en su sector respondía a la necesidad de garantizar que un evento tan importante, singular y complejo desde un punto de vista organizativo como es el MWC se desarrollara con las máximas medidas de seguridad y teniendo en cuenta que dicha empresa era la que estaba aplicando los debidos controles sanitarios durante la pandemia en el mismísimo aeropuerto de Barcelona, amén de otras ferias anteriores, como FITUR. La decisión de contar con QP fue consensuada, con el propio Departamento de Salud Pública del Ministerio de Sanidad español, con quien GSMA mantuvo múltiples reuniones de trabajo y coordinación en el marco de la preparación del MWC22. De hecho, QUIRONPREVENCIÓN era una entidad homologada por el Departamento de Salud Pública a efectos de poder reportar eventuales casos positivos acontecidos durante el MWC.” 4. “La base jurídica que habilita el tratamiento de los citados datos de salud y circunstancia que levanta la prohibición para tratar categorías especiales de datos, según el artículo 9 del RGPD.” Responde que van a realizar un análisis de cómo estaba la situación en fechas anteriores. En fecha 1/12/2021, GSMA presentó oficialmente su PLAN DE SALUD Y SEGURIDAD PARA EL MWC22 DE BARCELONA (el “Plan"). Pueden consultarse las notas de prensa en las direcciones URL ***URL.1 y ***URL.2.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/96 Haciendo clic en el primero, lleva a otra página de GSMA de 1/12/2021, que es una noticia que informa sobre el plan de seguridad para el evento de 2022, en el que la salud y la seguridad será la prioridad, mencionando a, entre otros, los asistentes o visitantes, los trabajadores en el recinto, para todos los cuales “deberán certificar su estado de vacunación, proporcionar prueba negativa o una certificación de recuperación de COVID 19, para obtener acceso al recinto, al igual que en la edición 2021, la prueba de cumplimiento de los protocolos se almacenará y mostrará en la aplicación oficial del evento”. También se informa que será QUIRONPREVENCIÓN el socio médico que validará estos documentos. Manifiesta la reclamada que el PLAN DE SALUD Y SEGURIDAD presentado es una actualización del plan presentado en marzo de 2021, el cual fue elaborado en coordinación con las autoridades sanitarias catalanas responsables de la normativa que regulaba el MWC21, entre ellas el Departamento de Empresa y Conocimiento de la Generalitat de Catalunya, y la COMISIÓN TÉCNICA DEL PROCICAT que lo aprobó -Comité adscrito al Departamento de Interior de la Generalitat de Catalunya que gestiona la gestión de la pandemia en Cataluña en el seno del Plan Territorial de Protección Civil del Departamento de Interior de la Generalitat de Catalunya. • El Plan cumplía, además, con las directrices y recomendaciones para los organizadores de eventos contempladas en el PLAN SECTORIAL DE FERIAS Y CONGRESOS. • El Plan involucra a todos los participantes en el MWC, pues fue diseñado con un enfoque por niveles que permitía crear un entorno seguro para personal, trabajadores, expositores, visitantes, proveedores, socios y comunidad local. Estos niveles contemplaban pruebas frecuentes, rastreo de contactos, entornos sin contacto, renovación del catering, control de la ocupación, mejoras en la infraestructura de las instalaciones, personal médico y compromisos personales como mantener la distancia social, así como la recogida de datos COVID por GSMA, en particular, datos relativos al certificado de vacunación; certificado de recuperación o resultado negativo de prueba diagnóstica. Además, el Plan se basaba en el PROTOCOLO DE SEGURIDAD Y PREVENCIÓN CONTRA EL COVID-19 que en aquel momento estaba aplicando FIRA. • Durante los meses previos a la celebración del MWC22, GSMA debía tener en cuenta con una periodicidad casi semanal, las distintas resoluciones que emanaban no sólo del Departament de Salut de la Generalitat de Catalunya sino también del propio Ministerio de Sanidad español, con quienes mantenía reuniones de coordinación de forma periódica, incluyendo a las Fuerzas y Cuerpos de Seguridad. Sobre la base jurídica que habilita al tratamiento de datos, manifiesta la reclamada que el artículo 6.1.

1. c)del RGPD, “necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”. En ejecución del Plan, ”GSMA debe, por lo tanto, cumplir con el mandato de las autoridades catalanas en relación con la recogida de datos para minimizar el riesgo de contagio de los asistentes al evento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/96 “En virtud de la Ley de Salud Pública 18/2009, de la Comunidad Autónoma de Cataluña, las autoridades sanitarias pueden interferir en actividades privadas a los efectos de proteger la salud de los ciudadanos y prevenir enfermedades. GSMA considera el Plan como tal intervención acordada y aprobada por las autoridades catalanas como un mandato para implementar las medidas citadas anteriormente, incluida la recogida de Datos COVID.” “En el supuesto que la base legal indicada anteriormente no aplicara, GSMA se basaría en su obligación de proteger el interés vital de los asistentes al evento (incluidos los trabajadores y proveedores) artículo 6.1
2. d)RGPD, protección del interés vital de los asistentes como base legal para el tratamiento de sus datos”. El considerando 46 del RGPD establece la posibilidad de tratar los datos en base a esta base legal en el contexto de la monitorización de pandemias, entendiéndolo como “su obligación de proteger el interés vital de los asistentes al evento-incluidos los trabajadores”. -Artículo 9.2
3. g)del RGPD, interés público esencial. Responde, que: ”el objetivo de la Organización es la creación, en coordinación con las autoridades sanitarias, de un entorno seguro para personal, trabajadores, expositores, visitantes, proveedores, socios y comunidad local teniendo en cuenta las características del evento y la situación de pandemia. La misma legislación citada en los párrafos anteriores aplicaría para justificar el tratamiento de datos de salud en virtud del artículo 9.2
4. g)del RGPD relativo a la protección del interés público esencial. 5.”La finalidad del tratamiento” Responde que la finalidad del tratamiento de los datos de salud por parte de QUIRONPREVENCIÓN, se limitaba a comprobar “que la información contenida en los certificados sanitarios cumplía o no con los requerimientos de acceso al evento establecidos por parte de la Organización, aunque la verdadera finalidad del tratamiento de estos datos, desde la óptica de GSMA, no era otra que proteger a los asistentes al MWC22 y a sus trabajadores, garantizando un entorno seguro y saludable para todos ellos, y, en definitiva, evitar la propagación de la pandemia como amenaza transfronteriza grave para la salud pública del modo requerido conforme al Plan consensuado y aprobado por las autoridades sanitarias.“ 6.“Las garantías adecuadas implementadas para la protección de los derechos y libertades de las personas, incluidas las medidas de seguridad adoptadas para proteger la confidencialidad de los datos personales.” Respondió que “se adjunta certificado relativo a las medidas de seguridad aplicadas por QUIRONPREVENCIÓN como ANEXO NÚMERO 2” Consiste en un escrito de QP, firmado el 20/04/2022 por el Comité de Protección de Datos, que certifica el cumplimiento de la normativa de Protección de Datos en todos los tratamientos de datos que realizan para el desarrollo del objeto social y adopta las medidas jurídicas, técnicas y organizativas necesarias para garantizar la seguridad de los mencionados tratamientos. No se alude al concreto tratamiento encargado, ni se relaciona ningún interviniente del asunto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/96 Añade la reclamada, que:” En cuanto al tratamiento de los Datos COVID, ni GSMA ni FIRA han tenido acceso a estos datos. Estos eran recogidos directamente por QUIRONPREVENCIÓN que los analizaba y confirmaba si el individuo era 'APTO' o 'NO APTO' a los efectos de acceder al evento.” 7.“Las categorías de interesados (trabajadores, clientes, usuarios, etc.) y la información facilitada sobre el tratamiento de estos datos de salud.” Responde que:” Las categorías de interesados son todas aquellas personas que, por cualquier razón, debían acceder al perímetro del recinto del evento, es decir, los asistentes, los expositores y los proveedores (contratistas y subcontratistas). En cuanto a la información facilitada sobre el tratamiento de estos datos, y en relación con el tratamiento de datos objeto de la presente reclamación, la misma es facilitada por el proveedor/empleador directamente al no tener GSMA contacto directo con los trabajadores. El contrato entre GSMA y el proveedor requiere al proveedor el cumplimiento de las leyes aplicables en materia de protección de datos, incluido el cumplimiento con los requisitos de transparencia y legalidad de las mismas a los efectos de ceder los datos de sus trabajadores a GSMA o sus encargados de tratamiento, incluyendo la provisión de la política de privacidad de GSMA (la especifica política de privacidad se facilita al proveedor) a sus trabajadores cuyos datos se facilitan a GSMA. La política de privacidad cumple con los requisitos establecidos en el RGPD e incluye información relativa al tratamiento de datos de salud de los asistentes, incluido el tratamiento de datos facilitados por terceros, haciendo referencia específica al caso que nos ocupa, en particular, a la circunstancia en las que el proveedor facilite los datos del trabajador a GSMA.” 8.“En su caso, orden que contempla la medida sanitaria para la contención y control de la epidemia ocasionada por el virus del SARS CoV-2, así como justificación de la necesidad y proporcionalidad de la aplicación de esta medida al evento.” Respondió que “El mandato lo ha recibido GSMA a través del Plan, el cual fue desarrollado en colaboración con (y aprobado por) las autoridades catalanas”, tal y como es explicado con anterioridad. Las autoridades competentes consideraron en su momento que las medidas aprobadas en el Plan eran las apropiadas para gestionar la pandemia en el momento en el que se celebró el evento. Asimismo, la justificación de la necesidad y proporcionalidad de la aplicación de estos requisitos de acceso al evento tiene en cuenta tres motivos, en gran medida relacionados con la propia naturaleza del MWC: a. El primero de ellos es el carácter internacional del Congreso. En la edición del MWC22 estuvieron representados un total de 183 países de los 195 que hay en todo el mundo. Debido a la crisis sanitaria provocada por la COVID-19 y a las restricciones temporales de viajes no imprescindibles desde terceros países – algunos de riesgo o incluso muy alto riesgo–, GSMA tuvo que adaptar su Plan de Salud y Seguridad del evento a las previsiones de la Orden INT/657/2020, de 17/07 por la que se modifican los criterios para la aplicación de una restricción temporal de viajes no imprescindibles desde terceros países a la Unión Europea y países asociados Schengen por razones de orden público y salud pública con motivo de la crisis sanitaria ocasionada por la COVID-19, cuyos criterios se iban modificando mensualmente para responder a un cambio de circunstancias o a nuevas recomendaciones en el ámbito de la UE, así como a la Resolución de 4 de junio. (se desconoce a que resolución se refiere la cita). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/96 b. El segundo de ellos es el carácter multitudinario del Congreso. La edición del MWC22 acogió a un total de 61.000 personas durante los cuatro días del evento, lo que supone un volumen altísimo de asistentes que, en un contexto de pandemia y teniendo en cuenta la elevada concentración de individuos en un mismo espacio, exige adoptar medidas que garanticen que todos los asistentes se hallan en posesión de las debidas credenciales de salud y se reduzcan al máximo las probabilidades de contagio y/o propagación del virus. c. El tercero es por razones de salud pública íntimamente relacionadas con el contexto y la evolución de la pandemia durante las fechas previas a la celebración del MWC, y los indicadores de mortalidad y contagio, en los meses previos a la celebración del MWC, ”eran de todo menos esperanzadores y justificaban la adopción de tales medidas, que refrendamos.” 9.“Informe si únicamente se solicita la exhibición del certificado o prueba negativa de un test de antígenos, o si se registra o conserva la información contenida en ellos, y en este caso justificación de la necesidad de su registro y ubicación de los servidores en los que se almacena.” Respondió que:” Tal y como se ha indicado, los asistentes al MWC22 envían (“cargan”) sus certificados de salud directamente a la plataforma de QUIRONPREVENCIÓN, donde quedan registrados y almacenados en sus propios servidores, ubicados en territorio español, hasta el último día del desmontaje del evento, momento en el que se destruyen.” La justificación del registro y conservación de estos datos es muy sencilla. QUIRONPREVENCIÓN necesita acceder a estos datos con antelación y de forma remota (ya que se debe acreditar a miles de asistentes, incluyendo a los trabajadores) para poder realizar su función de verificación, necesaria para que los asistentes obtengan el pase para acceder al recinto (y cumplir, de este modo, con los requisitos del Plan). Además, estos certificados deben conservarse por si durante el evento aflora un caso positivo, el cual invalidaría el pase y sería comunicado a las Autoridades Sanitarias por los cauces oportunos. La gestión del acceso a un evento de estas características requiere la conservación de los datos a los efectos de facilitar el acceso al evento en los días de su celebración y evitar aglomeraciones a la entrada. Los datos COVID únicamente se conservaron durante el periodo del evento y se borraron una vez finalizó el desmontaje del evento. El MWC finalizó el 3/03/2022, y QUIRONPREVENCIÓN destruyó todos los datos el día 8/03/2022, que fue la fecha de finalización del desmontaje. 10.“En su caso, detalle del procedimiento establecido para que los trabajadores registren la documentación en la plataforma.” Respondió que:” El procedimiento es el siguiente: Paso 1. El proveedor registra a cada uno de sus trabajadores en la plataforma de GSMA. Paso 2. Una vez registrados, cada trabajador recibe un correo electrónico de confirmación de GSMA con un link que facilita acceso a su cuenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/96 Paso 3. Cada trabajador facilita directamente la Información COVID a través de la plataforma de QUIRONPREVENCIÓN. Paso 4. Cada trabajador recibe un correo electrónico de confirmación/ rechazo para la finalización del proceso de registro en la plataforma de GSMA.” 11.“Destinatarios de la información registrada o almacenada.” Respondió que:” El destinatario de los datos de salud registrados u almacenados es QUIRONPREVENCIÓN dado que es la entidad que, con arreglo a su condición de subencargado de tratamiento, debe comprobar si la forma y el contenido de los certificados sanitarios se adecuan los criterios de acceso establecidos por la Organización. Ni GSMA ni FIRA ”han tenido acceso a los datos de salud registrados”. 12.“Informe sobre si se realizan transferencias internacionales y, en su caso, identificación de los importadores de datos, país de destino de la transferencia, y si existe, decisión de adecuación o garantías adecuadas en materia de transferencias internacionales de datos.” Respondió que: ”No existe transferencia internacional de datos. Los datos de salud se almacenan en los servidores que QUIRONPREVENCIÓN tiene en España”. 13.“La Evaluación de Impacto realizada o motivos por los que no se ha realizado”. Respondió que se adjunta como ANEXO NÚMERO 3, en cuyo título, alude expresamente al tratamiento de COVID 19 relacionado con datos de salud de “los empleados de los proveedores de GSMA” que “proporcionan los servicios acordados entre GSMA y sus proveedores” para la celebración de MWC Barcelona 2022, aludiendo a que los datos se suben a “una plataforma proporcionada por el subencargado de GSMA,QUIRON PREVENCION (QP), “y que ninguna otra parte más que QP tiene acceso a esa plataforma”, y reitera que la finalidad de asegurar el acceso seguro. Se aprecia que la fecha de la EIPD que figura al final del documento es 22/02/2022, cuando los datos de los empleados para el acceso a las instalaciones de montaje, según el correo electrónico aportado por el reclamante de 20 y 21/01/2022 donde se indicaba que la recogida de datos sanitarios COVID 19 sería de 23/01/2022 hasta el 8/03/2022. “Las actividades de tratamiento están en concordancia con las medidas implantadas por el Plan GSMA ”Comunidad Comprometida” que se ha desarrollado y aprobado por autoridades catalanas y españolas, incluyendo las de salud.” En el apartado de ¿cuál es la fuente de los datos?: “Los de empleadores, es decir, los proveedores de GSMA; y los interesados directamente.” En ”¿Cuál es la naturaleza de la relación con los interesados?”, se indica que “los interesados son los empleados de los proveedores de GSMA comprometidos, o ligados con FIRA o con GSMA para proporcionar servicios en la sede del evento MWC”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/96 En ”descripción del tratamiento”, se especifica en proceso de recogida de datos que: “La información COVID es subida en la plataforma directamente por los empleados”. El proceso de registro es como se ha explicado en el anterior punto 10, añadiendo que se indica que : “GSMA solamente es notificado sobre si la persona está capacitada para acceder a la sede o no.” Se indica que los datos de salud son de categoría especial y que los empleados, debido al desequilibrio de poder en la relación contractual de empleo constituyen un grupo vulnerable. “- ¿Qué quieres lograr? “Cumplir con el Plan acordado con las autoridades sanitarias españolas/ catalanas para garantizar que el evento del MWC sea un entorno seguro de COVID -19 para todos los asistentes. Cumplir con los requisitos sectoriales en materia de organización de Congresos, en particular los Planes Catalán de Actuación COVID de Recintos Feriales y Congresos (Plan de Actuación de Congresos y Plan de Actuación de recinto ferial).” “¿Es apropiado consultar a otras partes interesadas internas y, de ser así, a quiénes? “El tratamiento de la Información COVID es obligatorio en el marco del Plan que se ha redactado en coordinación con las autoridades sanitarias catalanas, el Departamento de Empresa y Conocimiento de la Generalitat de Catalunya, PROCICAT (Comisión del Ministerio del Interior de la Generalitat de Catalunya) así como la Agencia de Salud Pública de Barcelona y el Departamento de Salud Pública de la Sanidad Española. El Plan ha sido aprobado por PROCICAT.” -Afecta a 11.970 personas. -Se indica en ”contexto de tratamiento”, que la relación con los interesados es que son empleados de los proveedores de GSMA y proporcionan sus servicios en la sede del evento del MWC. Sobre ”¿cuánto control tendrán ellos?”, se indica que: ”Se informa a las personas sobre sus derechos en relación con el tratamiento a través del Aviso de Privacidad proporcionados por su empleador en nombre de GSMA. De acuerdo con los Términos y Condiciones de Registro de Contratista entre GSMA y los proveedores, los proveedores se comprometen contractualmente a cumplir con todas las obligaciones de transparencia y legalidad antes de compartir los datos de los empleados con la GSMA, incluida la provisión del Aviso de privacidad de la GSMA a todos los empleados pertinentes.” En el mismo punto se indica:”¿Esperarían que usted usara sus datos de esta manera?” “Sí. Consulte la respuesta anterior sobre la forma en que se informó a las personas sobre las actividades de tratamiento. Además, las medidas de COVID -19 llevadas a cabo en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/96 MWC van en consonancia con las medidas tomadas en eventos similares, ya que se acuerdan con las autoridades sanitarias que establecen estos requisitos en general (por ejemplo, se requerirían medidas similares para acceder a otros espacios concurridos).” También en ”contexto de tratamiento”, figura:”¿Existen preocupaciones previas sobre este tipo de tratamiento o fallas de seguridad?” “No. Cualquier medida implementada por GSMA (incluido el tratamiento de información de COVID) es discutido y consensuado con las autoridades sanitarias correspondientes.” QUIRONPREVENCIÓN cuenta con certificaciones de seguridad (certificación ISO 27001:2013 y la certificación según el Esquema Nacional de Seguridad Español). En el apartado de paso 4”Valoración de la necesidad y proporcionalidad” se alude a las bases de legitimación para el tratamiento de datos, incluyendo el artículo 6.1 c): “El Commited Community Plan.” (CCP) fue elaborado en colaboración con las autoridades catalanas de salud y aprobado por PROCICAT, y se alinea con los Planes de Acción COVID Cataluña para Ferias y Congresos aplicable a GSMA y FIRA. El “Commited Community Plan incluía el requisito de solicitar información COVID”. Seguidamente reitera la cita de la Ley 18/2009, de 22/10, de salud pública, en el ámbito de la CCAA de Cataluña, como norma que puede afectar en el ámbito de salud a los ciudadanos para prevenir enfermedades, y GSMA considera el CCP constituye esa habilitación, al ser aprobado por las autoridades de salud catalanas como un mandato para implementar las medias del COVID 19 en el MWC para prevenir la extensión de la COVID 19, incluyendo la recogida de información COVID que es requerida por la y para cumplir las instrucciones de las autoridades de salud. También cita como base legitimadora, aparte del artículo 6.1.c), el artículo 6.1.d), y el artículo 9.2.
5. g)del RGPD. Concreta este 9.2.
6. g)en que ”se produce un interés público sustancial en función del derecho de la Unión o de la Ley española. GSMA fue requerido por ley para cumplir con las instrucciones de salud de las autoridades de salud y desarrollar y cumplir con el ”Commited Community Plan.” En el mismo apartado se responde a: ¿”Puede ser obtenido el mismo resultado con el tratamiento de menos datos”, ¿Cómo se proporciona transparencia a los interesados?, reiterando que el aviso de privacidad-“privacy notice”, se proporcionó por sus empleados en representación de GSMA, antes de que sus datos fueran compartidos por el empleador con GSMA…” ¿Cómo se posibilita el ejercicio de derechos a los interesados?, indicando, de acuerdo con el “aviso de privacidad” (privacy notice). -En el paso 5,”valoración de riesgos identificación valoración y mitigación de riesgos” es un cuadro con cinco columnas denominadas: “Fuente de riesgo y probables consecuencias” “Severidad del riesgo” “probabilidad del riesgo” “riesgo general”. Figuran en esta tabla, entre otros: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/96 -”No proporcionar suficiente información a los individuos”,” GSMA asegura que a los empleados de los proveedores se les proporciona el Aviso de Privacidad antes de que sus datos sean compartidos por su empleador con GSMA. De acuerdo con los Términos y Condiciones de Registro de Contratista, los proveedores son obligados contractualmente a cumplir todas las obligaciones de transparencia y licitud antes de compartir los datos de sus empleados con GSMA, incluyendo la provisión del Aviso de privacidad de GSMA para todos los empleados antes de compartir.” Se cataloga como: alto en severidad del riesgo, remoto en probabilidad y riesgo general: bajo. La información sobre los derechos está también incluida en la política de Privacidad.” “Los derechos de los interesados y la forma en que pueden ejercerse se detallan en la Comunicación sobre privacidad.” En la valoración de los riesgos, se indica: - como de probabilidad “remota”, la de una queja por la decisión de denegar el acceso a un empleado de un proveedor con base a la información COVID, a pesar de catalogarse de “severidad del riesgo, alto”, se cataloga como “riesgo global: bajo”, y en medidas de mitigación se indica que ”GSMA garantiza un enfoque coherente para determinar si se puede conceder a una persona la entrada en el lugar del evento MWC sobre la base de la información sobre la COVID-19 y a la luz del Plan. Los niveles de denuncia fueron bajos en la MWC 21”, finalizando que las personas ”tienen las tres opciones, certificado de vacunación, prueba PCR negativa válida por 72 horas, o certificado médico de recuperación de la enfermedad.” -En ”errores para cumplir con solicitudes de interesados”, se indica que los derechos de las personas se incluyen en la ”privacy notice” proporcionada a los empleados de los proveedores, con ”riesgo global bajo”. En ningún punto de la EIPD se menciona la intervención del DPD, sino que en el apartado ”link to advice from DPO (if any)” figura N/A. Tampoco consta que se hubiera consultado a los afectados. 14.”La decisión adoptada a propósito de esta reclamación.” Señala que no se ha adoptado ninguna decisión a propósito de esta reclamación por cuanto todas las actuaciones llevadas a cabo por parte de GSMA en el ámbito de la protección de datos de carácter personal han mostrado el máximo respeto por las obligaciones vigentes, sin que considere que se haya producido ninguna incidencia, por lo que no ha adoptado ninguna medida. CUARTO: Admisión a trámite de 29/04/2022 Con fecha 29/04/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Consulta a Informe mercantil de la empresa reclamada En la consulta realizada en el “informe monitoriza de la empresa no mercantil GSMA LTD”, con el NIF que figura en este acuerdo, como entidad no residente, consta en el cuadro “magnitudes financieras estimadas” un “importe neto de la cifra de negocios”: de 2021 de XXXXXXXX, y del año anterior: XXXXXXXXX. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/96 SEXTO: Antecedentes registrados de la reclamada en la aplicación de gestión de expedientes de la AEPD SIGRID Consta en el registro de SIGRID, sistema de información de la gestión de expedientes de la AEPD, que la reclamada fue sancionada en el procedimiento EXP202100603, PS/00553/2021, con imposición de una sanción pecuniaria de 200.000 euros en resolución de 24/02/2023, por una infracción del artículo 35 del RGPD, tipificada en el artículo 83.4
7. a)del RGPD, y a efectos de prescripción, calificada como grave en el artículo 73.
8. t)de la LOPDGDD, constando que se recurrió en reposición, siendo desestimado el 28/04/2023. SÉPTIMO: Acuerdo de inicio de procedimiento sancionador, de 5/06/2023. Con fecha 5/06/2023, la Directora de la AEPD acordó: -“INICIAR PROCEDIMIENTO SANCIONADOR a GSMA LIMITED, con NIF N4004237F, por la presunta infracción del RGPD, artículos: - 14 del RGPD, de conformidad con el artículo 83.5.b), tipificada como muy grave a efectos de prescripción en el artículo 72.1.
9. h)de la LOPDGDD, con una multa de 100.000 euros. -9.2 del RGPD, de conformidad con el artículo 83.5.a), tipificada como muy grave a efectos de prescripción en el artículo 72.1.
10. e)de la LOPDGDD, con una multa de 300.000 euros. - 6.1 del RGPD, de conformidad con el artículo 83.5.a), tipificada como muy grave a efectos de prescripción en el artículo 72.1.
11. b)de la LOPDGDD, con una multa de 200.000 euros.” OCTAVO: Alegaciones de la reclamada de 27/06/2023 Con fecha 27/06/2023, la reclamada ha efectuado las siguientes alegaciones: -Al haber sido notificado el acuerdo de inicio también a su entidad participada GSMC, reitera la distinción entre la reclamada e imputada y GSMC, que no tiene papel alguno en el tratamiento de datos del MWC Barcelona. 1- Expone el número de asistentes en los años 2019, (110.000) y en 2023 (88.500) y que ocupa un espacio de 240.000 metros cuadrados, equivalente a unos cuarenta campos de fútbol, en el recinto ”FIRA de Gran Vía”, habiendo cancelado la edición de febrero 2020, por la expansión del virus cuando aún no se había declarado la pandemia. Manifiesta que ello acredita en este caso los criterios de prudencia que exige la legislación sanitaria y las medidas preventivas que rigen su actuación, limitándose a dar cumplimiento a la normativa en materia de salud pública. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/96 2-Sobre FIRA DE BARCELONA, aclara que es una entidad de naturaleza publica de base asociativa y carácter consorcial de fomento, integrada por la Generalitat, Ayuntamiento de Barcelona y la Cámara Oficial de Comercio, Industria y Navegación de Barcelona. Desde el punto de vista de normativa en materia de protección de datos, FIRA y QUIRONPREVENCIÓN (en adelante QP)-como subencargada- suscribieron el correspondiente contrato de prestación de servicios de salud para el MWC22 de tratamiento. FIRA actúa, como encargada de tratamiento de GSMA. Se ha aportado como DOCUMENTO 4 contrato entre FIRA y QP (proveedor), fechado el 21/02/2022, aunque en el apartado de duración indica que “tendrá una vigencia a contar desde el mes de enero 2022”, destacando: -“El evento MWC 2022 organizado por GSMA Ltd. se celebrará en las instalaciones feriales de FIRA DE BARCELONA, recinto Gran Vía.” -“FIRA por mandato de GSMA Ltd., y en su calidad de contratista principal se encarga de gestionar y coordinar con el proveedor previamente designado por GSMA la prestación de servicios relativos a la validación de certificados COVID”. -“FIRA y QP han definido los requerimientos mínimos para la prestación de tales servicios y condiciones de su contratación, habiendo presentado oferta el proveedor. Las partes manifiestan su conformidad y aceptación con oferta de servicios para el MWC BCNA 2022 comprensiva de la oferta del proveedor y requerimientos de FIRA y GSMA”. Como parte del contrato, se incluyen hasta SEIS ANEXOS Le siguen las cláusulas, entre las que figuran la realización de la comunicación de resultados y validación de los test/certificados de vacunación en el ANEXO 1B, “Integración de sistemas”, entre las que se cita que se comunicará a FIRA lo resultados, solo los tests negativos, “a través de una API que proveerá FIRA a través de la cual indicará el identificador del participante y la validez de la prueba para que el participante sea marcado como “verificado para el acceso” en los sistemas de control de acceso al evento.” Consta una cláusula de confidencialidad de la información entre proveedor y FIRA, considerando confidencial toda información en su caso recibida del organizador del evento, que será utilizada por el proveedor a los únicos fines de prestar el servicio para el que haya sido requerido. Como parte anexa del contrato, figura una especifica de “contrato de encargado de tratamiento”, ANEXO VI, en la que se regulan las condiciones conforme a las cuales QUIRON PREVENCION SLU como subencargado de tratamiento llevará a cabo el tratamiento de datos necesarios para la prestación del servicio, de conformidad con el artículo 28 del RGPD. Se indica, entre otros contenidos, que GSMA es el responsable del tratamiento y FIRA ostenta la posición de encargado de tratamiento. En su punto 1.3, en cuanto al colectivo de interesados afectados, solo se indica que:” Para la ejecución de los servicios, el responsable del tratamiento pone a disposición del subencargado la información que se describe respecto a los participantes en el evento: “Datos identificativos, nombre, apellidos, número de identificación gubernamental: DNI,NIE-pasaporte), datos de contacto- número de teléfono, dirección de correo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/96 electrónico, datos de salud (certificados de vacunación, recuperación y pruebas diagnósticas frente a COVID 19). En el punto 2.2, se indica como garantía y compromiso del subencargado, tratar los datos de acuerdo con las instrucciones del encargado.” Entre las obligaciones del responsable del tratamiento, punto 8, figura la de “proporcionar la información a los interesados sobre el tratamiento de sus datos personales” Aporta la reclamada copia, en DOCUMENTO 3A Y 3B, del contrato marco entre FIRA y GSMA en inglés. El primero, de 22/11/2019, FIRA como titular de las instalacionesproveedor de servicios- y el organizador del MWC Barcelona, GSMA, pactan servicios adicionales a los que suscribieron el 14/07/2011, conocidos como “HOST CITY PARTIES”, en los que se encuadran otras entidades públicas (Ayuntamiento de la ciudad, Generalitat, etc.). Se indica en el apartado 5:”protección de datos e información de seguridad”, que:” El proveedor deberá cumplir con las disposiciones del anexo de protección de datos que se incluye en el anexo 1, parte A de este acuerdo, que figura en el acuerdo en el que se configura a el proveedor como encargado del tratamiento y a GSMA como responsable del mismo.” El segundo, DOCUMENTO, 3B, refleja una enmienda al contrato de 22/11/2019, con objeto de extender su vigencia hasta 2030, y se actualiza el citado anexo 1, parte A, antes mencionado. 3-Se adjunta, como DOCUMENTO número 7 bis, certificado de destrucción emitido por la entidad QP. El MWC finalizó el 3/03/2022 de marzo y QP destruyó todos los datos el día 8/03/2022, que fue la fecha de finalización del desmontaje. QP dispone de la certificación ISO 27001:2013, acreditado bajo criterio ENAC, así como la certificación de conformidad del Esquema Nacional de Seguridad que proporcionan los controles de seguridad adecuados para proteger los activos de información de la organización. 4-Menciona las diversas normas que pueden habilitar en general actuaciones restrictivas y de intervención por las autoridades sanitarias del Estado (LO 3/1986 de 4/04, de medidas especiales en materia de salud pública y Ley 14/1986 de 25/04, General de Sanidad. En al ámbito de Cataluña reitera la citada Ley 18/2009 de 22/10 de salud pública, en cuyo cumplimiento, el Departament de Salut de la Generalitat de Catalunya (GC) aprobaba periódicamente resoluciones en consonancia con el estado de la pandemia y fijaba medidas, de forma coordinada con el Plan Territorial de Proteccion Civil en Cataluña (PROCICAT) Estima que el marco jurídico aplicable a la organización del MWC 22, lo formaban el cumplimiento de las condiciones aplicables conforme a la legislación básica, Ley 2/2021 de 29/03, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID 19, y las medidas y restricciones aprobadas por el Departament de Salut de la Generalitat de Catalunya. Añade, que tuvo que tomar sus acciones de organización bajo el principio de precaución y deber de cautela. Acompaña en DOCUMENTO 5, copia de resoluciones dictadas por el citado Departament de Salut, desde el 7/12/2021 al 2/03/2022, comprendiendo un total de cinco resoluciones que tienen en común un esquema similar, en el que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/96  Establecen cada una de ellas, con vigencia temporal las medidas en materia de salud pública para la contención del brote epidémico de la pandemia de COVID 19 en el territorio de Cataluña, indicándose el nivel de alerta según las cuatro fases existentes, informando de los indicadores epidemiológicos y asistenciales, contando con informes como el del Comité Científico Asesor, o el director de la Agència de Salut Pública de Catalunya (ASPCAT).  Tras indicar diversas disposiciones normativas que se relacionan con el ámbito de la salud pública, en las que las autoridades competentes sanitarias pueden adoptar diversas medidas, se indica que “la intervención administrativa en las actividades públicas y privadas necesaria para afrontar la situación de crisis sanitaria ocasionada por la COVID19, amparada en el marco legislativo mencionado, sujeta las medidas que afecten a los derechos fundamentales a la garantía adicional del control judicial con respecto al juicio de proporcionalidad en su triple vertiente: idoneidad, necesidad y proporcionalidad.”  Como referencias a medidas que afectan a derechos fundamentales, se cita el requisito del certificado COVID para el acceso a determinadas actividades no esenciales en espacios cerrados (restauración, salas de actividad física y/o deportiva, gimnasios y actividades recreativas musicales permitidas: salas de concierto, cafés teatro, cafés concierto y restaurantes musicales), y también se recoge para las visitas a centros residenciales de personas mayores y de personas con discapacidad, que son mencionadas por primera vez en la resolución SLT/3512/2021 de 25/11, subsisten en la de 7/12/2021, y se reitera por ejemplo en la resolución SLT8/2022 de 4/01/2022, que tiene una vigencia de 14 días, desde el 7/01/2022, y en la que además, para el ámbito que aquí interesa, establece: En su parte de “introducción” …”de acuerdo con el posicionamiento del Comité Científico Asesor de la COVID-19, de 18 de noviembre de 2021 contenido en el documento intitulado Proposta per considerar l'ús del certificat COVID en altres àmbits a Catalunya, entre las medidas que limitan derechos fundamentales, propone mantener la exigencia del certificado COVID para el acceso a aquellas actividades no esenciales que se desarrollan en espacios cerrados de riesgo más elevado por las condiciones de transmisión principal del virus por aerosoles y donde hay más vulnerabilidad y, por lo tanto, más necesidad de protección. Estas actividades se limitan al sector de la restauración, salas y gimnasios donde se realiza actividad física y/o deportiva y salas de concierto, cafés teatro, cafés concierto y restaurantes musicales- ( luego aludidas en el apartado 3.4: ”uso de certificado COVID”)En todas estas actividades se establece la capa de protección sanitaria que supone como requisito de acceso la presentación del certificado emitido por un servicio público de salud que acredite alguna de las circunstancias siguientes: que se dispone de la pauta vacunal completa contra la COVID-19, que se dispone de una prueba diagnóstica negativa COVID-19 ─PCR o test de antígenos─ con una vigencia determinada, o que se ha recuperado de la enfermedad en los últimos seis meses (certificado COVID). Quedan exoneradas de la condición de presentar el certificado COVID las personas menores de 13 años que no tengan limitado, por razón de la edad, el acceso a los locales, establecimientos, equipamientos o espacios correspondientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/96 La medida supone una afectación, aunque tenue, a la igualdad y a la intimidad en los términos de la Sentencia 1112/2021, de 14 de septiembre, de la Sala Contenciosa Administrativa del Tribunal Supremo, adoptada bajo la cobertura jurídica de la Ley orgánica 3/1986, de 14 de abril, de medidas especiales en materia de salud pública, en coherencia con las otras leyes sanitarias, con el objetivo de reducir el riesgo que una persona infectada entre en contacto con otras no infectadas y no protegidas y les pueda transmitir la infección. La idoneidad y la necesidad de la medida en cuanto al objetivo de protección de la salud y la vida se justifica en la eficacia de la vacunación como actuación preventiva, según acreditan los estudios científicos, sobre la disminución de contagios, hospitalizaciones y muertes. Asimismo, hay varios factores que aumentan el riesgo de transmisión del SARS-CoV-2 en las actividades condicionadas a esta medida, especialmente en el contexto actual, donde hay una mayor circulación de variantes del SARS-CoV-2 más contagiosas.” -En su apartado 3.4 para el acceso a los citados espacios se indica: “A tales efectos: las personas titulares o responsables del local, establecimiento, equipamiento o espacio tienen que establecer el sistema de control de accesos que permita hacer la comprobación de cualquiera de los certificados previstos presentados por las personas que quieran acceder como usuarias, sin conservar los datos que contienen y sin hacer uso para ninguna otra finalidad que la mencionada de control de acceso. Además, se ha de avisar con un cartel en zona visible a las personas afectadas de la no conservación de los datos personales acreditados.” Esta disposición de aportación de documentación de salud no pervive tras la sucesiva aprobación de las citadas resoluciones, desde la emitida SLT 99/2022, de 26/01 que entra en vigor el 28/01/2022. -En cuanto al sector de “Congresos, convenciones, ferias comerciales y fiestas mayores” aparece, por ejemplo, mencionado por primera vez en la SLT/3652/2021 de 7/12, y reiterada en posteriores resoluciones, con el siguiente tenor: “1.Se recomienda la celebración de congresos, convenciones, ferias comerciales y actividades asimilables, así como acontecimientos profesionales por medios telemáticos. La celebración presencial de congresos, convenciones, ferias comerciales y actividades asimilables en espacios cerrados requiere que se garantice la ventilación mínima establecida en la normativa vigente en materia de instalaciones térmicas de edificios. Cuando en el desarrollo de estas actividades se puedan concentrar más de 1.000 personas, en espacios cerrados se recomienda mantener el cumplimiento de las condiciones de ventilación y calidad del aire reforzadas indicadas en el anexo 4 y, tanto en espacios cerrados como al aire libre, se tiene que garantizar el cumplimiento de las medidas organizativas de control de aglomeraciones indicadas en el anexo 3.” -La reclamada pasa a resumir las principales condiciones que en estas resoluciones se fijaban, que divide en: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/96 1”medidas generales de protección individual y colectiva: distancia y mascarilla” Contempladas en la Ley 2/2021, uso de la mascarilla individual (art 6.1 )”en cualquier espacio cerrado de uso público o que se encontrará abierto al público y en eventos multitudinarios que tuvieran lugar en espacios al aire libre, cuando los asistentes estén de pie. Si están sentados era obligatorio cuando no se pudiera mantener una distancia de seguridad de al menos 1,5 m entre personas”, y distancia de 1,5 metros entre personas,” y que no hubiera sido posible cumplir, si no se hubiera exigido la documentación COVID 19 de forma telemática para su comprobación y validación“. 2”Uso del certificado COVID” Manifiesta que “la normativa referida exigía la presentación de un certificado COVID para acceder a salas y gimnasios donde se practicase actividad deportiva, salas de conciertos, cafés, teatro, cafés concierto y actividades de restauración. “Dichas medidas se mantuvieron vigentes durante los meses de preparación y organización del MWC22, es decir desde noviembre y hasta finales de enero, si bien a partir de la Resolución SLT/99/2022, de 26/01, dejó de ser obligatoria la aportación de certificados COVID-19 para acceder a dichas actividades (salas y gimnasios donde se practicase actividad deportiva, salas de conciertos, cafés teatro, cafés concierto, y actividades de restauración).” “No obstante, la reclamación y el expediente sancionador improcedentemente incoado por la AEPD, se refiere a la documentación que exigió GSMA con carácter previo a la Resolución SLT/99/2022, de 26/01 y ello al margen que, como se constatará, se trataba de la documentación que requería la organización de un evento que preveía la asistencia de 61.000 personas (más allá de las actividades para las que se había previsto como obligatorio el certificado hasta el 26/01/2022) y en atención a la situación pandémica existente” Respecto la celebración de congresos, se requería que se garantizara la ventilación mínima establecida en la normativa vigente. “Ahora bien, lo cierto es que en modo alguno las Resoluciones del Departament de Salut preveían una organización de las dimensiones del MWC22”. “Por tanto, las medidas previstas en las resoluciones del Departament de Salut para congresos y ferias, no daban una cobertura clara a un evento como el MWC22 que iba a reunir a 61.000 asistentes, e implicaba la participación de 11.900 trabajadores y proveedores; situación que evidenciaba la necesidad de exigir la aportación de certificados COVID-19”. Las medidas que tomó GSMA son producto de la situación a nivel de evolución pandémica durante la fase de preparación y celebración del MWC 22, a partir de los datos del Departament de Salut e informes previos de la Agencia de Salud Pública de Catalunya (ASPC) aprobadas de conformidad con el artículo 55 bis de la ley 19/2009, aportadas en DOCUMENTO 5, y con el amparo del principio de precaución en términos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/96 de salud pública. Examina la situación que exponía la resolución de 23/12/2021, en fase de alerta 4 sobre un total de 4 fases, y detalla informes del Director de la ASPC de 23/12/2021 sobre la variante ómicron, previéndose un incremento a más de 50.000 casos diarios a mediados de febrero de 2022. En definitiva, los meses de preparación y celebración del MWC22, se caracterizaron a nivel pandémico como una fase de alerta máxima y riesgo muy alto, a la que debía sumarse la incertidumbre y alarma respecto el impacto que la variante Ómicron podría implicar. En este contexto, GSMA de forma coordinada con las autoridades sanitarias catalanas y españolas optó por exigir certificados COVID-19 en el marco de los proveedores y trabajadores del MWC22 (que son más de 11.000) articuló la estrategia denominada “Plan Committed Community”, que se refiere -no a un protocolo concreto y escrito que pueda ser aportado- sino a las medidas que se iban estableciendo en atención a la propia evolución impredecible de la pandemia y la singularidad de un evento como el MWC. De hecho, las medidas venían configuradas por todas las Resoluciones e informes aportados como DOCUMENTO 5. Indica las 17 reuniones que se tuvieron con autoridades sanitarias desde octubre 2021 hasta finales de febrero de 2022, y que ”en dichas reuniones se examinó y validó la actuación finalmente llevaba a cabo especificada en el documento ”PROTOCOLOS DE ACTUACIÓN MWC22” que se acompaña como DOCUMENTO 6 preparado por FIRA y GSMA conjuntamente, tal y como se observa en dicho documento, que fue presentado a las autoridades sanitarias catalanas y estatales para su conformidad, que establecía que el proceso de registro requería que los montadores y participantes cargaran sus datos COVID. Manifiesta que: ”De este modo, de conformidad con el principio de precaución, se optó por exigir Certificados COVID, de igual manera que se exigía hasta el 26/01/2022 para bares, restaurantes o gimnasios. Dicha exigencia es a todas luces proporcionada y adecuada, si tenemos en cuenta las dimensiones del evento. En este sentido, recordemos que la organización del MWC22 requirió la intervención de 11.900 trabajadores y proveedores. ”“GSMA se ha limitado a dar cumplimiento a la normativa en materia de salud pública, y las medidas decretadas por las autoridades sanitarias. Y todo ello siempre partiendo del principio de precaución previsto en el art. 3 de la Ley 33/2011 y el de cautela exigido por el artículo 4 de la Ley 2/21.” El DOCUMENTO 6 que aporta, es un gráfico titulado:” requerimientos de salud para acceder al MWC 2022 protocolo 1”, 27/01/2022, versión 2.0, en el que se indica que los montadores/alta registro, han de subir el pasaporte COVID, PCR-TAR, que es comprobado por QUIRON, más una posterior autodeclaración de salud aceptada para conseguir el control de acceso, con protocolos adicionales para caso positivo, criterios y casuística de aislamiento en caso de un positivo, y actuación en caso de indisposición de un asistente 5-No se ha producido infracción del artículo 9.2 del RGPD porque la actuación está amparada por las excepciones que contemplan los epígrafes
12. g)e
13. i)C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/96 “
14. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado; (…) “
15. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional” Debe aclararse en primer lugar, que, en la línea de lo analizado en la alegación anterior, GSMA aplicó las medidas y limitaciones en materia de protección de la salud pública previstas en las Resoluciones del Departament de Salut que se adjuntan como DOCUMENTO número 5 y que GSMA de forma coordinada con las autoridades sanitarias, interpretaba y aplicaba, de conformidad con los detalles expuestos. Común denominador de los artículos mencionados son que el tratamiento es necesario por razones de interés público, y GSMA ha actuado por razones de interés público sobre la base de los principios de prudencia y cautela y de las normas de sanidad dictadas por las diversas Administraciones, con el fin de establecer las medidas sanitarias necesarias para proteger la salud de los trabajadores y proveedores, así como también a los asistentes. Además, el derecho de protección de datos no es ilimitado, y encuentra sus límites en otros derechos fundamentales como el derecho a la vida y a la salud. Cita la sentencia del Tribunal Supremo número 1112/2021 de 14/09/2021 referida a medidas consistentes en la exigencia de exhibición del pasaporte COVID 19 en establecimientos de pública concurrencia. La sentencia valora la afectación de la intimidad en relación con la vida y la salud pública. Concluye manifestando que “el tratamiento de los datos sensibles efectuado y que se refería a los datos exigidos conforme la legislación sanitaria y las Resoluciones dictadas por el Departament de Salut, responden a un interés público esencial indiscutible como es la protección de las personas que iban a intervenir en el MWC22 en un contexto pandémico como el descrito.”“ El TS avala la suficiente cobertura de la normativa de salud de Galicia (en relación con el caso enjuiciado en la Sentencia) para imponer idénticas medidas que las acordadas por las autoridades sanitarias catalanas; medidas que, como hemos visto, GSMA tenía la obligación legal de interpretar y aplicar en el marco de la organización del MWC22 y que le exigieron, en atención a la magnitud del evento, el tratamiento telemático.” Las medidas y el tratamiento de datos personales efectuado se encuentran amparadas en la legislación de salud pública. Se exige que el tratamiento se dicte sobre la base del derecho de los Estados miembros, y a su vez, no puede obviarse que el art. 9.2 de la LOPDGDD concreta:” 2. Los tratamientos de datos contemplados en las letras g),
16. h)e
17. i)del artículo 9.2 del Reglamento (UE) 2016/679 fundados en el Derecho español deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad”. Pues bien, tal y como se ha analizado ampliamente, las medidas aplicadas por GSMA, vienen amparadas por normas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/96 con rango de ley, tanto estatales como autonómicas: LO 3/1986, Ley 14/1986, Ley 2/2021 y Ley catalana 18/2009.”Al amparo de dicha legislación y de las Resoluciones aprobadas por el Departament de Salut, que GSMA ha implementado las medidas de registro y tratamiento de datos, para poder dar cumplimiento efectivo a las medidas exigidas por el legislador y las autoridades sanitarias. “Sirva recordar que la suficiencia de dicho marco normativo para acordar medidas limitadoras en el marco de la prevención de la pandemia por COVID-19, y en concreto, la exigencia de Certificados COVID-19 ha sido confirmada por la Sentencia 1112/2021”. El tratamiento ha sido proporcional y adecuado, sobre los datos de salud de COVID 19, en modo electrónico y durante el tiempo que duró el evento. Con arreglo al artículo 9.2.
18. i)del RGPD, GSMA adoptó medidas adecuadas y específicas para proteger los derechos y libertades, sin haber tenido acceso a los datos. -No se ha vulnerado el artículo 6.1 del RGPD. Reitera que la actuación se ampararía en los artículos 6.1.
19. c)y 6.1.
20. d)del RGPD. El tratamiento de datos personales efectuado por GSMA se llevó a cabo en cumplimiento de las obligaciones legales impuestas por la legislación de salud pública y las medidas aplicadas por las autoridades sanitarias. La base jurídica de las medidas concretas exigidas por las autoridades sanitarias y aplicadas por GSMA en cuanto al tratamiento de datos y exigencia de pasaporte COVID19, y consta aportada como DOCUMENTO número 5. A los efectos de acreditar cuál es la obligación legal que GSMA estaba aplicando y dando cumplimiento a partir de la exigencia de certificados COVID-19, con arreglo a lo previsto en el art. 6.1.
21. c)RGPD, procede recordar: ”Que la LO 3/1986, y la Ley 14/1986 amparan todas aquellas medidas preventivas y restrictivas acordadas por las autoridades sanitarias para controlar las enfermedades transmisibles ante un riesgo inminente y extraordinario para la salud. Asimismo, en cumplimiento de la legislación básica estatal, la Ley catalana 18/2009, reitera que de conformidad con dichas Resoluciones del Departament de Salut se exigía certificado COVID-19 para acceder a cualquier lugar de pública concurrencia (bares, restaurantes, gimnasios, etc.): interpretando y aplicando dichas Resoluciones del Departament de Salut conforme el principio de precaución y de cautela, GSMA exigía el Certificado Covid-19 a todos los proveedores del MWC22, así como los asistentes. Y todo ello, de conformidad con el criterio y autorización recabados por parte de las autoridades sanitarias.” Tal y como el RGPD reconoce, la base jurídica de los tratamientos puede ser múltiple. Así, en este caso, el tratamiento de datos descansa en una doble base jurídica, también aplicando el artículo 6.1.
22. d)del RGPD, teniendo en cuenta el Considerando