1/8 Expediente N.º: EXP202315504 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por la ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos, de fecha 30 de abril de 2025, y teniendo como base los siguientes HECHOS PRIMERO: En fecha 11 de septiembre de 2023 tuvo entrada en esta Agencia una denuncia presentada por la parte recurrente contra SONORAMA PRODUCCIONES, S.L., en la que expone que la entidad denunciada, promotora y organizadora del evento Sonorama Ribera 2023 que tuvo lugar en Aranda de Duero del 9 al 13 de agosto, incluye en las condiciones de acceso al recinto en el que se ha celebrado el festival Sonorama Ribera 2023 la siguiente cláusula: "Si tienes condiciones médicas especiales y lo acreditas, podrás entrar con comida en el caso de que lo necesites." Entiende la parte denunciante que se solicitan datos de carácter personal relativos a la salud especialmente protegidos para acceder al recinto. Y que se vulnera el principio de minimización de datos. En la sección de preguntas frecuentes del festival, en el apartado de acceso al recinto se dice lo siguiente: " Dentro del recinto contarás con opción variada de comida y bebida, ya que las actividades principales del festival son la celebración de conciertos y la hostelería. Si tienes condiciones médicas especiales y lo acreditas, podrás entrar con comida en el caso de que lo necesites. Si vas acompañado/a de un menor de 3 años, acceder con la comida, bebida para él/ella, también está permitido. En cuanto a las bebidas, podrás llevar una botella sin tapón, que podrás rellenar en las fuentes de agua potable del recinto." No se aprecia que estemos ante una condición de acceso al festival, sino una condición para introducir alimentos, si un asistente no quiere introducir un alimento, no tiene que aportar nada. Pero en la política de privacidad hablan de las categorías de datos personales tratados cuando hablan de los fines con lo que utiliza los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 En resumen, las categorías de datos tratados son: identificativos y de contacto (tu nombre y apellidos, tu fecha de nacimiento, tu número de teléfono y tu dirección de correo electrónico y postal) y tus datos financieros y de pago, la imagen para garantizar la seguridad y la protección de las instalaciones y puede incluir sistemas de videovigilancia. No mencionan los datos de salud que, aunque no los incluyan en ningún fichero sí que los tratan de alguna manera, y además, al ser datos de salud especialmente sensibles, exigen que su tratamiento se haga sobre la base del consentimiento del interesado, consentimiento que de alguna manera no sería libre, si está condicionado a poder introducir alimentos en el recinto del festival. SEGUNDO: En fecha 30 de abril de 2025, tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos, acordando el archivo de la reclamación. La resolución fue notificada en fecha 5 de mayo de 2025, según acuse de recibo que figura en el expediente. TERCERO: En fecha 4 de junio de 2025 la parte recurrente ha presentado un escrito, registrado en la Agencia en fecha 4 de junio de 2025, en el que formula recurso de reposición, al mostrar su disconformidad con la resolución de la AEPD archivando su reclamación, al considerar la AEPD que la solicitud de acreditar condiciones médicas especiales, intolerancias o alergias para introducir comida en el recinto no se considera un tratamiento de datos de salud. La parte recurrente expresa su disconformidad indicando que la empresa promotora del festival anunció la prohibición de entrada al recinto a los asistentes que portaran comida del exterior, y sólo aquellos que mostrasen un certificado médico que recogiese las posibles intolerancias o alergias alimentarias, podrían acceder al recinto del festival con su comida. Afirma que tal afirmación se corrobora al aparecer en la web del festival como condición de acceso al recinto, lo siguiente: "Si tienes condiciones médicas especiales y lo acreditas, podrás entrar con comida en el caso de que lo necesites." Sostiene que de tal condición se desprende que, si el usuario quiere acceder con comida y no muestra sus datos médicos que justifiquen su alergia o intolerancia, no podrá acceder al recinto a menos que se desprenda de la comida. Por tanto, a su juicio, sí estaríamos ante una condición de acceso al recinto, ya que, aunque la promotora indica que finalmente no llegó a requerir esta documentación, lo cierto es que la citada cláusula se encontraba entre las condiciones de acceso al festival por lo que entendemos que es una conducta sancionable pues se genera confusión entre los usuarios, independientemente de la actuación que la empresa hubiera adoptado a posteriori. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Fundamentos de la resolución recurrida En relación con las manifestaciones efectuadas en el recurso, que reiteran básicamente las ya realizadas en el escrito de reclamación, debe señalarse que las mismas ya fueron analizadas y desestimadas en la resolución impugnada, cuyos fundamentos II, III y IV continúan plenamente vigentes y se reproducen seguidamente: “II Condiciones para el consentimiento En relación con las condiciones para el consentimiento, el artículo 7 del RGPD dispone: "1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato." III Tratamiento de categorías especiales de datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
- b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
- d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
- e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
- f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
- g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
- h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
- i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
- j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." IV Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
- f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 III Contestación a las alegaciones presentadas La parte recurrente ha interpuesto el presente recurso de reposición por considerar que la empresa promotora del festival anunció la prohibición de entrada al recinto a los asistentes que portaran comida del exterior, y sólo aquellos que mostrasen un certificado médico que recogiese las posibles intolerancias o alergias alimentarias, podrían acceder al recinto del festival con su comida, de manera que se estaría exigiendo que se presente un certificado médico para tener acceso al recinto. En respuesta a tales alegaciones, la AEPD ha de señalar que se han realizado actuaciones previas de investigación iniciadas a raíz de la denuncia presentada debido al presunto tratamiento de datos de salud para introducir alimentos a un festival de música celebrado por SONORAMA del 9 al 13 de agosto de 2023. Se ha evidenciado que la aportación de datos de salud no es una condición de acceso al festival, sino una condición para introducir alimentos en dicho festival. Se ha acreditado que la parte denunciada informa que solicita acreditación de condiciones médicas especiales para introducir alimentos a un festival. En el presente caso, no se aprecian indicios suficientes que permitan acreditar la existencia de un tratamiento efectivo de datos personales relativos a la salud por parte de Sonorama Producciones, S.L., en el marco del acceso al festival Sonorama Ribera 2023. Pese a que en la comunicación pública se incluyó una cláusula que aludía a la posibilidad de acceder al recinto con comida en caso de acreditar condiciones médicas especiales, la entidad denunciada ha manifestado de forma clara y reiterada que no llegó a solicitar materialmente, registrar y conservar ningún justificante médico, ni de forma presencial ni online, a ningún asistente. Asimismo, no se ha aportado evidencia documental que contradiga esta afirmación ni que permita considerar que se haya producido un tratamiento material de datos especialmente protegidos, como lo serían los relativos a la salud, más allá de una mera posibilidad genérica anunciada en la web y comunicaciones informativas. En este sentido, las manifestaciones de la parte denunciada resultan coherentes con la ausencia de documentación relativa al tratamiento de este tipo de datos (registro de actividades, evaluación de riesgos, análisis de impacto, etc.), y la información aportada sobre la operativa del festival apunta a que no se exigió la presentación de justificantes como requisito obligatorio para el acceso por ninguna vía, ni en el acceso presencial al evento ni online a ningún asistente. IV Conclusión Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, y que la finalidad del recurso es revisar la legalidad de la actuación administrativa, procede acordar su desestimación, sin perjuicio de que la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 recurrente puede formular una nueva denuncia aportando copia de todos los documentos relevantes de los que disponga, en relación con una posible infracción en el ámbito competencial de la Agencia. V Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el artículo 21.1 de la citada LPACAP. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN contra la Resolución de esta Agencia Española de Protección de Datos dictada en fecha 30 de abril de 2025, acordando el archivo de la denuncia presentada en el expediente n.º EXP202315504. SEGUNDO: NOTIFICAR la presente resolución CONSUMIDORES Y USUARIOS EN ACCIÓN. a la ASOCIACIÓN DE Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. 868-070425 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es