1/9 Expediente nº.: EXP202102521 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por el reclamante y ahora recurrente (en lo sucesivo, la parte recurrente), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, de fecha 25 de agosto de 2022, y en base a los siguientes: HECHOS PRIMERO: Con fecha 25 de agosto de 2022, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202102521, procediéndose al archivo de las actuaciones previas de investigación. Dicha resolución fue notificada a la parte recurrente en fecha según consta en el acuse de recibo que figura en el expediente. SEGUNDO: La parte recurrente ha presentado en fecha 27 de septiembre de 2022, en esta Agencia Española de Protección de Datos, recurso de reposición y recurso de revisión con idéntico contenido, fundamentándolo básicamente en lo siguiente: “Que a su juicio, la Resolución dictada no ha tenido presente hechos del todo relevantes que se pusieron de manifiesto por esta parte en el escrito de denuncia y, al mismo tiempo, alcanza conclusiones que no se ajustan a la realidad material que concurre en el presente caso, alcanzando con ello la inexistencia de irregularidades en el proceder de la mercantil denunciada. (…) La reclamación presentada frente a la mercantil ARAMARK relataba los siguientes hechos: 1. La mercantil ARAMARK presta el servicio de comedor en el CEIP Joaquín Turina. 2. Esta mercantil ha dispuesto unas Condiciones de Uso del Servicio de Comedor que ni siquiera han sido valoradas en la Resolución dictada por la AEPD y que constituían uno de los fundamentos esenciales de los que se sostenía la reclamación formulada por esta parte. 3. Según las citadas Condiciones Generales de Uso del Comedor, las familias que tengan que comunicar una ausencia de alguno de los usuarios han de hacerlo de la siguiente manera:
- a)Han de remitirla necesariamente a través de la web “El Gusto de Crecer” o de la APP “El Gusto de Crecer” dispuestas por la mercantil ARAMARK. Para ello, los usuarios deben aportar los datos personales requeridos por ARAMARK, prestar su ENEXCUSABLEMENTE su CONSENTIMIENTO para el tratamiento de tales datos por parte de dicha mercantil y aceptar las condiciones de uso de tales plataformas.
- b)Con carácter general, tales ausencias deben ser comunicadas con al menos 3 días de antelación, algo que obviamente no resulta posible en supuestos de ausencias sobrevenidas, por ejemplo, por razones de enfermedad del menor usuario del servicio de comedor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9
- c)En tales casos de ausencias que no hayan podido ser comunicadas con 3 días de antelación, ARAMARK requiere la aportación de informe médico del alumno que justifique la ausencia en cuestión. Este informe médico de los menores debe ser presentado a ARAMARK no a través del centro sino directamente a la empresa a través de la web “El Gusto de Crecer” o de la APP “El Gusto de Crecer”. Partiendo de tales hechos, se formulaba reclamación con el siguiente objeto: 1. Tratamiento de datos de salud de menores que no son estrictamente necesarios para el cómputo de ausencias. Las Condiciones de Uso del Servicio de Comedor exigen la aportación de informes médicos de menores en aquellos supuestos en los que las ausencias de los alumnos no hayan podido ser comunicadas a ARAMARK con una antelación de 3 días. No obstante, el requerimiento de aportación de informe médico resulta del todo innecesario ya que la exigencia obvia lo dispuesto en la Orden de 17 abril de 2017, por la que se regula la organización y el funcionamiento de los servicios complementarios de aula matinal, comedor escolar y actividades extraescolares, así como el uso de las instalaciones de los centros docentes públicos de la Comunidad Autónoma de Andalucía fuera del horario escolar. En este sentido, el art. 8.6 de la citada Orden, que necesariamente ha de ser conocida y respetada tanto por la Administración educativa autonómica como por la entidad adjudicataria, señala lo siguiente: “6. Para la utilización del servicio de comedor escolar es necesaria la asistencia a las actividades lectivas del día”. Siendo esto así, un alumno que no haya asistido a las actividades lectivas del día NO PUEDE utilizar el servicio de comedor, ya que ello resultaría contrario a la citada Orden. Partiendo de esta premisa, el proceder correcto para justificar una ausencia en el servicio de comedor no puede ser un requerimiento de aportación de un informe médico del alumno, ya que bastaría con que el centro informara a ARAMARK sobre la falta de asistencia a las actividades lectivas del día. Esto es, no se puede confundir la justificación de la ausencia en el centro escolar con la justificación que haya de hacerse en el comedor, ya que conforme prevé la Orden, si no se ha asistido al centro no se puede ser utilizar ese día el servicio de comedor. Así, la ausencia al centro escolar debe justificarse oportunamente ante la administración educativa mediante la aportación de los documentos necesarios, incluidos informes médicos. No obstante, para justificar la ausencia en el servicio de comedor debe bastar con que el propio centro informe a ARAMARK acerca de la ausencia del alumno, sea ésta justificada o no, ya que como se indica, de dicha ausencia se deriva la IMPOSIBILIDAD de utilizar ese día el servicio de comedor. De este modo, cualquier exigencia de aportación de informes médicos del alumno a la empresa prestadora del servicio de comedor resulta atentatoria con el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 principio de minimización previsto en el artículo 5 del RGPD. Además, y dado que la entrega a ARAMARK de los informes médicos para justificar las ausencias no resulta precisa por los motivos alegados, el tratamiento de tales datos de salud de menores por parte de dicha empresa resulta carente de base legitimadora y de excepción prevista en el art. 9.2 del RGPD. Por consiguiente, el tratamiento de tales datos resulta contrario al RGPD por los motivos alegados. 2. Exigencia de utilización de la web o de la App “El Gusto de Crecer” y carencia de base jurídica de legitimación. Según se indica en las Condiciones de Uso del Servicio de Comedor, para la comunicación de las ausencias de los menores usuarios ha de utilizarse necesariamente la web o la App “El Gusto de Crecer”. Para ello, los usuarios deben registrarse en las citadas plataformas, prestar INEXCUSABLEMENTE el consentimiento para el tratamiento de sus datos por parte de ARAMARK, tratamiento del que esta mercantil afirma ser Responsable y no Encargada de tratamiento, y aceptar las condiciones de uso del sitio y/o de la App. Esto es, conforme se describía en la denuncia, la mercantil ARAMARK opera como encargada de tratamiento de datos por cuenta de la Administración educativa andaluza y, en paralelo, como responsable del tratamiento en relación a los datos que obtiene a través de tales plataformas. Para legitimar el tratamiento de datos que realiza a través de la web y de la App, ARAMARK recurre a la prestación del consentimiento de los usuarios, consentimiento que ha de ser prestado de forma libre, específica informada e inequívoca conforme al RGPD. No obstante, según indica la mercantil en las Condiciones de Uso del Servicio de Comedor, la utilización de la plataforma web o de la App para comunicar ausencias de los menores al servicio de comedor no es potestativa para los usuarios sino obligatoria, ya que es el único canal dispuesto por ARAMARK para poder hacer este tipo de comunicaciones. Además, analizadas las condiciones de uso de la web y la política de tratamiento de datos, se constata que los recabados para la realización de tales comunicaciones se emplean por ARAMARK para propósitos que van más allá de los estrictamente necesarios para la ejecución del contrato que tal mercantil tiene suscrito con la Administración educativa. Por tal motivo se entiende que la prestación del consentimiento para el tratamiento de los datos de los usuarios de la web o de la App, cuando éstos desean emplear tales plataformas con el único propósito de comunicar las ausencias de los menores al servicio de comedor, no es libre. 3. Falta de tenencia de Delegado de Protección de Datos. El art. 37 del RGPD prevé los supuestos en los que un responsable o encargado de tratamiento debe proceder a la designación de un DPD, indicando que tal designación resulta obligatoria, entre otros, cuando “Las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 especiales de datos personales y de datos relativos a condenas e infracciones penales”. Pues bien, en el caso de ARAMARK resulta manifiesto el tratamiento masivo de datos de menores y, en particular, de categorías especiales de datos, fundamentalmente representados por datos de salud de éstos, derivados de las dietas especiales que han de seguir, de las intolerancias alimentarias que puedan tener, así como los informes médicos justificativos de cada una de las ausencias de los menores al servicio de comedor. (…)” Solicita que se revoque la resolución de archivo. TERCERO: Tras la presentación del recurso en el que la parte reclamante advierte que no ha sido atendido el objeto de la reclamación que ha de ser objeto de sanción, de conformidad con lo previsto en el artículo 118 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se remite la documentación recibida a la entidad reclamada, para que en el plazo de 10 días formulase las alegaciones y presentase los documentos o justificantes que estime conveniente. En su escrito de contestación indica lo siguiente: “Como Aramark ya ha señalado en escritos anteriores en relación al presente expediente y para mejor comprensión del contenido de las presentes Alegaciones, reiteramos que Aramark tiene, con respecto a las circunstancias expuestas en el escrito del reclamante, dos funciones diferentes desde el punto de vista de la protección de datos y que esto es fundamental para la valoración de su actuación. Respecto a los hechos que son base del presente recurso de reposición actuamos como Aramark en un doble rol de responsable y también de encargado de tratamiento. La web “El gusto de Crecer” así como la App “El gusto de Crecer” fueron creadas y son utilizadas para varias finalidades. La primera de ellas es la de ofrecer información sobre nutrición, educación, salud y bienestar dirigido a las familias, niños/ as y los colegios, cuyo objetivo principal es transmitirles transparencia y seguridad sobre el desarrollo del servicio de comedor, así como aportarles información y recomendaciones para que puedan seguir una alimentación saludable dentro y fuera del comedor escolar. La segunda de las finalidades es, previo registro: detalle del menú mensual escolar para su descarga o consulta online, comunicados sobre las actividades que realizan en el comedor escolar (actividades educativas, notas informativas, incidencias del servicio si hubieran…) y la notificación de ausencia o presencia al comedor escolar de los usuarios. En algunas de dichas finalidades, Aramark tiene el rol de responsable de tratamiento y de esta manera se refleja en la política de privacidad y las condiciones generales de uso. Esta posición de responsable del tratamiento no debe ser confundida con la posición de encargado del tratamiento que ostenta Aramark en relación con las comunicaciones a efectos de asistencia al comedor. (…) 1.1. Sobre los hechos y el objeto de la reclamación “(…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 Este informe médico de los menores debe ser presentado a ARAMARK no a través del centro sino directamente a la empresa a través de la web “El Gusto de Crecer” o de la APP “El Gusto de Crecer”.” Es falso que la web “El gusto de Crecer” o la App “El gusto de Crecer” solicite un informe médico y/o datos de salud de menores (como una enfermedad) o datos de intolerancias. El tutor legal, al registrarse, debe proporcionar una dirección de correo electrónico y, posteriormente, cuando desee acceder a su apartado personal, deberá introducir su número de DNI y el sistema le mostrará la información del beneficiario de la prestación (el niño/
- a)que ha sido proporcionada a Aramark por el responsable del Tratamiento (la Junta de Andalucía). Una vez en dicha página, el tutor podrá notificar la ausencia del comedor, marcando una casilla y sin aportar más datos ni incluir informes médicos de ninguna clase. (…) Aramark destaca que en la citada página web y en la App no se tratan datos de salud y que no se pregunta a los tutores el motivo de la ausencia del usuario en el comedor. Tampoco es necesario proporcionar un certificado médico a Aramark a través de la Web o de la App. Los datos de alergias (informes del médico, certificados etc.) los padres los entregan directamente al colegio, y en ningún caso se “cuelgan” en la página web o en la App. 1.2. Sobre el Tratamiento de datos de salud de menores que no son estrictamente necesarios para el cómputo de ausencias A este respecto, el reclamante afirma que “(…) … el requerimiento de aportación de informe médico resulta del todo innecesario ya que la exigencia obvia lo dispuesto en la Orden de 17 abril de 2017 (…). En este sentido, el art. 8.6 de la citada Orden, que necesariamente ha de ser conocida y respetada tanto por la Administración educativa autonómica como por la entidad adjudicataria, señala lo siguiente: “6. Para la utilización del servicio de comedor escolar es necesaria la asistencia a las actividades lectivas del día”. Siendo esto así, un alumno que no haya asistido a las actividades lectivas del día NO PUEDE utilizar el servicio de comedor, ya que ello resultaría contrario a la citada Orden.” Como bien afirma el reclamante la Orden de 17 abril de 2017 regula en el Art. 8.6 la necesidad de la asistencia de las actividades lectivas del día para poder utilizar los servicios del comedor escolar. Sin embargo, nosotros sacamos una conclusión diferente a la del reclamante a partir de la redacción de la ley. No se trata de que un alumno que no haya asistido a clase en un día concreto no pueda hacer uso del servicio de comedor. Más bien, esta normativa debe entenderse en su generalidad como la exigencia de una asistencia básica a las clases para poder participar en el servicio de comedor escolar. No es el caso, sin embargo, que el alumno que no asiste a las clases un día determinado, o quizás no todo el día, sino sólo unas horas, no sea el que pueda participar en el servicio de comedor escolar. Además, el reclamante señala que “(…) … cualquier exigencia de aportación de informes médicos del alumno a la empresa prestadora del servicio de comedor resulta atentatoria con el principio de minimización previsto en el artículo 5 del RGPD.” En este punto, sólo podemos reiterar, como ya se ha dicho en el apartado 1.1., que Aramark no exige un certificado médico y que basta con manifestar que el alumno C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 está ausente para registrar la no asistencia en ese día concreto al comedor escolar. En este sentido, Aramark no viola el principio de minimización de datos. No es necesario transmitir el certificado médico a Aramark a través de la web o la App. Esta parte reitera que la página web y/o la App no solicitan datos personales más que el correo electrónico. 1.3. Sobre la exigencia de utilización de la web o de la App “El Gusto de Crecer” y carencia de base jurídica de legitimación En relación con la afirmación del reclamante, esta parte confirma que, de conformidad con lo establecido en los Pliegos Técnicos a los que se somete el contrato que une a esta parte con la Consejería de Educación y Deporte, la Junta de Andalucía, es obligación del adjudicatario del contrato proporcionar a los usuarios del servicio un canal para comunicar las ausencias del alumno en el comedor con una antelación mínima de 3 días con el fin que dichas comidas sean descontadas de la factura mensual (a favor del tutor legal). En caso de no notificar los padres las ausencias de sus hijos, la factura contemplaría la totalidad de las comidas mensuales. A continuación, reproducimos el texto de los Pliegos donde se contempla dicha obligación, que Aramark no ha hecho más que cumplir escrupulosamente. (…) En este sentido, tal y como indica la Consejería, es la empresa adjudicataria la que debe proporcionar un canal o plataforma para gestionar dichas ausencias, que, en el caso de Aramark, se gestiona a través de la web “El gusto de Crecer” y de la App “El gusto de Crecer” en la que los padres deben registrarse únicamente aportando una dirección de correo electrónico y aceptando las condiciones legales que la regulan. Los pliegos de la licitación prevén expresamente que el adjudicatario proporcione un canal, plataforma, web, App o similar con el fin que los beneficiarios de la prestación puedan gestionar las ausencias de comedor sin especificar ninguna característica del mismo ni que deba ser exclusivo para dicha tarea. El canal ofertado cumple con las características básicas de cualquier página web, App o plataforma existente en el mercado sin exceder en su tratamiento ni ir más allá de la finalidad por la que debe tratar los datos obtenidos. Asimismo, los datos de los interesados relacionados con la notificación de asistencia a comedor son tratados única y exclusivamente para gestionar nada más que las tareas asociadas al contrato de referencia. Aramark presta el servicio público en los comedores escolares bajo la responsabilidad de la autoridad educativa. Según el pliego - Expediente 00065/ISE/2019/SC, apartado 12.4.2 Protección de datos, pág. 32, Aramark como persona adjudicataria, en tanto Encargado de tratamiento, deberá tratar los datos personales de los cuales la entidad contratante es responsable de la manera que se especifica en el Anexo XXVI-A de dicho pliego. En relación a ello, Aramark ha tratado los Datos Personales conforme a las instrucciones mencionadas en el Pliego y demás documentos contractuales aplicables a la ejecución del contrato. Al respecto de los datos que serán objeto del encargo en la licitación se detallan los siguientes: Nombre y Apellidos, DNI, domicilio y número de cuenta corriente del alumnado beneficiario de la prestación y de sus tutores legales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 (vid. ANEXO XXVI-A, pág. 118 del doc. PCAP). Aramark ha tratado los Datos Personales de conformidad con los criterios de seguridad y el contenido previsto en el artículo 32 del RGPD, observando y adoptando las medidas técnicas y organizativas de seguridad necesarias o convenientes para asegurar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas y servicios de tratamiento. Obviamente Aramark ha mantenido la más absoluta confidencialidad sobre los Datos Personales a los que tiene acceso para la ejecución del contrato, así como sobre los que resulten de su tratamiento, cualquiera que sea el soporte en el que se hubieren obtenido. Por otro lado, la página web www.elgustodecrecer.es es una web gestionada por Aramark. En consecuencia, Aramark actúa como responsable del tratamiento de datos en la política de privacidad del sitio web. Por eso retiramos que consideramos el sitio web proporcionado por Aramark simplemente como una herramienta con la que se recogen los datos en nombre y por cuenta del CEIP Joaquín Turina de Sevilla por el PLIEGO DE PRESCRIPCIONES TÉCNICAS DE LA AGENCIA PÚBLICA ANDALUZA. En este sentido, Aramark actúa como responsable del tratamiento para determinadas finalidades concretas y como Encargado del tratamiento para otras finalidades, entre la que se encuentra la gestión de las ausencias de los interesados referentes al CEIP Joaquín Turina de Sevilla…” FUNDAMENTOS DE DERECHO I Competencia Con carácter preliminar, debe señalarse que el nuevo escrito presentado por el recurrente no ha sido calificado como recurso de reposición. No obstante, el apartado 2 del artículo 115 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), establece que el error o la ausencia de la calificación del recurso por parte del recurrente no será obstáculo para su tramitación, siempre que se deduzca su verdadero carácter, por lo que el escrito presentado se tramitará como un recurso de reposición. Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, cabe señalar lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 El ahora recurrente presentó la Circular enviada a los padres de los alumnos del CEIP Joaquín Turina para el curso 2021-2022, en la que recoge lo siguiente en referencia a las ausencias del comedor: “AUSENCIAS del Servicio de Comedor: Tienen que ser comunicadas por vía telemática, a través de la App móvil “El Gusto de Crecer” y/o la página web (www.elgustodecrecer.es), con preaviso de 3 días del día de la comunicación de ausencia. Para acceder a las plataformas, se tendrá que registrar a través del menú Regístrate. En ambas plataformas, existe un manual de instrucciones, para realizar las comunicaciones correctamente. Las comunicaciones por vía telefónica, vía email o vía contacto de la página de “El Gusto de Crecer” no serán válidas; y pasado los días indicados no se justificará la ausencia para el mismo día, ya que el sistema no lo permite. La vía de contacto de El Gusto de Crecer, únicamente se utilizará en caso de tenga problema de acceso, todo lo demás relacionado con el Servicio de Comedor, tiene que enviar email a andaluciafacturacion@aramark.es Las ausencias al Servicio de Comedor que sea causada por enfermedad pueden justificarse enviando el JUSTIFICANTE DE ASISTENCIA MEDICA, en un plazo máximo de 5 días, empezando a contar como primer día, el día de la primera ausencia. No obstante, los 3 primeros días naturales se cancelarán con el justificante de asistencia médica y a partir del cuarto día natural, serán las propias familias las que tendrán que cancelar las ausencias a través de las plataformas de El Gusto de Crecer, siguiendo el procedimiento ordinario. El proceso para poder justificar correctamente las ausencias por causa de enfermedad es la siguiente: - Si el primer día de enfermedad comienza el día miércoles, el justificante de asistencia médica, le justifica los días miércoles, jueves y viernes. - Si el primer día de enfermedad comienza el día jueves, el justificante de asistencia médica, le justifica los días jueves y viernes. En el caso de que el lunes o/y días venideros, el usuario no asista al Servicio de Comedor, tiene que realizar la comunicación de la ausencia a través de las plataformas de “El Gusto de Crecer”. - Si el primer día de enfermedad comienza el día viernes, el justificante de asistencia médica, le justifica el día viernes. En el caso de que el lunes o/y días venideros, el usuario no asista al Servicio de Comedor, tiene que realizar la comunicación de la ausencia a través de las plataformas de “El Gusto de Crecer”. Las ausencias al Servicio de Comedor que sea causada por confinamiento debido al Covid-19, se procederá de la siguiente forma: La Dirección del Centro Escolar, nos remite la relación de usuarios del Servicio de Comedor afectados por el confinamiento para justificar sólo los tres primeros días naturales; y a partir del cuarto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 día natural es la familia quien tiene que realizar la comunicación de ausencias a través de las plataformas de “El Gusto de Crecer”. La cuestión principal objeto del recurso es la necesidad de aportar justificante de asistencia médica para justificar las ausencias al comedor. Esa exigencia no se incluye en el Pliego de prescripciones Técnicas ni el Pliego de prescripciones administrativas. No se ha informado de la legitimación para esa solicitud de justificante en el marco señalado por parte de la entidad reclamada. III Conclusión En el presente caso, al no haber justificado la solicitud de justificante de asistencia médica para justificar las ausencias del comedor, se procede a la estimación del recurso. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR el recurso de reposición interpuesto por el ahora recurrente contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 25 de agosto de 2022, en el expediente EXP202102521. SEGUNDO: NOTIFICAR la presente resolución al recurrente y a ARAMARK SERVICIOS DE CÁTERING, S.L.U. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 182-261022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es