REPOSICION-PS-00503-2021

1/47  Expediente nº.: EXP202100106 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por RUBIATO PAREDES, S.L, con NIF B85227635 (en lo sucesivo, la parte recurrente o RUBIATO) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en fecha 07/03/2023, y con base en los siguientes HECHOS PRIMERO: En fecha 07/03/2023 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202100106 en virtud de la cual se impusieron a la parte recurrente, por dos infracciones del Reglamento (UE) 2016/679, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD), dos sanciones de multa administrativa y, al amparo del artículo 58.2.

1. d)del RGPD, una medida correctiva: -Sanciones de multa: 1.Por una infracción del artículo 9 del RGPD, tipificada en el artículo 83.5.
2. a)del RGPD, se impuso una multa de 20.000€ (veinte mil euros). 2.Por una infracción del artículo 6.1. del RGPD, tipificada en el artículo 83.5.
3. a)del RGPD, se impuso una multa de 10.000€ (diez mil euros). -Medida correctiva: Se acordó “Ordenar a RUBIATO PAREDES, de acuerdo con en el artículo 58.2.
4. d)del RGPD, que proceda a suprimir los datos de sus trabajadores relativos a la vacunación frente al Covid-19 y a acreditar su cumplimiento en el plazo de un mes desde que la resolución sancionadora fuera ejecutiva. Debiendo aportar a tal fin, en el plazo que se indica, un informe firmado por el representante legal de la empresa con documentación más detallada que acredite el cumplimiento de la medida impuesta.” Dicha resolución, que fue notificada a la parte recurrente en fecha 08/03/2023, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en materia de tramitación de procedimientos sancionadores en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) y, supletoriamente, en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). SEGUNDO: Como hechos probados del citado procedimiento sancionador, EXP202100106, se dejó constancia en la resolución impugnada de los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/47 <<PRIMERO: El reclamante, empleado de RUBIATO PAREDES, S.L., aporta copia de un correo electrónico que recibió el 7/06/2021, enviado desde la dirección ***USUARIO.1@rubiatoparedes.com, firmado por A.A.A. (…) seguido de la indicación “Dpto. Desarrollo y Gestión de Personas”. En el encabezado del mensaje electrónico figura como “Asunto” “¿Te han vacunado (COVID) ya? ¿Tienes cita para ello?”. El cuerpo del mensaje es el siguiente: “Quería pediros que cada uno, de manera individual, me indiquéis si está ya vacunado contra covid (primera dosis o proceso completado) Y si no lo estás si te han dado ya cita próxima para ello. Puedes hacerlo o bien respondiendo a este correo o por WhatsApp. El motivo de pediros esto es simplemente poder ir viendo la evolución de las vacunaciones en las empresas del grupo Valls Company, y además también, lógicamente, de manera interna en Rubiato. Esto nos facilita ir viendo el escenario que tenemos de cara a ir avanzando en la inmunidad de nuestros trabajadores. Si ya te han vacunado de alguna de las dosis, indícame día en que te han puesto la dosis. Y si tu vacuna es de una o de dos dosis. Si no te han vacunado todavía pero ya tiene mensaje con tu cita para ello. Indícame el día que te lo han programado. Si no te han vacunado y tampoco tienes mensaje, NO debes indicarme nada. Sí deberás hacerlo cuando más adelante te citen para ello. Si me respondes por correo es importante que en el correo me indiques tu nombre y apellidos y la información referente a la vacunación. Si lo haces por WhatsApp solo indícame tu situación de cara a la vacunación. Cualquier duda quedo a tu disposición. [...]” (El subrayado es nuestro) SEGUNDO: RUBIATO ha declarado en su respuesta al traslado de la reclamación que, fruto de la revisión y evaluación de su protocolo de actuación respecto de las medidas adoptadas para la recogida de los datos de vacunación de sus trabajadores, y a fin de subsanar la falta de información respecto al tratamiento de los datos de vacunación, envió a la plantilla un nuevo correo electrónico en fecha 5/08/2021 “desde la cuenta de correo electrónico corporativo ***USUARIO.1@rubiatoparedes.com”. El segundo mensaje tenía el siguiente texto: <<En relación con el correo enviado el pasado 07/06/2021 en que se solicitaba información sobre la vacunación Covid, y ante las dudas que al respecto hayan surgido les informamos que: . Los datos de vacunación únicamente son conocidos por el personal del Área de Prevención de Riesgos Laborales . No se trata en ningún caso de una solicitud con carácter obligatorio, los empleados pueden facilitar la información sobre su estado de vacunación de forma totalmente voluntaria. . El conocimiento de los datos de vacunación no implica de ninguna manera un tratamiento diferenciado entre los trabajadores vacunados de aquellos que no lo han sido . Se incorpora la información necesaria sobre el tratamiento de los datos: -Finalidad del tratamiento: gestión PRL de la afección por Covid-19 -Legitimación: la relación laboral y el cumplimiento de una obligación legal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/47 -Ejercicio de derechos -Plazo de conservación de los datos: durante el tiempo necesario para la finalidad del tratamiento y, una vez finalizada la misma se mantendrá a disposición de la administración pública, jueces y tribunales durante el plazo previsto de prescripción de las acciones que resulten de aplicación al tratamiento de sus datos -Cesión de datos: los datos no serán cedidos a terceros, ni a las demás empresas del Grupo Valls Company -Derecho a reclamar ante la AEPD . El área de Prevención de Riesgos Laborales trasladará a la empresa los datos estadísticos del estado de inmunización en ningún caso la empresa tendrá conocimiento ni podrá asociar los datos de vacunación con la identidad de los empleados de Rubiato Paredes.>> TERCERO: RUBIATO ha manifestado que los datos relativos al estado vacunal de los trabajadores recogidos a raíz del correo electrónico que envió a la plantilla el 7/06/2021, “han sido suprimidos con fecha 31/01/2022”. Y añade: “Dicha supresión, ha supuesto el bloqueo de los datos de carácter personal, permaneciendo a disposición de la administración pública, jueces y tribunales para la atención y defensa de las posibles responsabilidades nacidas del tratamiento por el plazo de prescripción de éstas últimas.” CUARTO: RUBIATO ha aportado con su respuesta a las pruebas practicadas -documento número 7- una captura de pantalla obtenida en fecha 18/01/2023 en la que se puede constatar que en la carpeta “RRHH” figuran diversas subcarpetas y documentos siendo uno de los documentos, en formato Excel, el que lleva por título “VACUNADOS COVID RUBIATO PAREDES”. Consta “Modificado” el “31/01/2022” y “Modificado por” A.A.A. A propósito de este documento RUBIATO comenta que es un “pantallazo del sistema de información de la carpeta de Sharepoint con acceso limitado y exclusivo a [A.A.A.], en donde se certifica la fecha del último acceso realizado por la coordinadora de PRL a la hoja excell “VACUNADOS RUBIATO PAREDES”, momento en el cual se produce la supresión de los datos por dejar de ser útiles para la finalidad en la que fueron recabados, es decir la de garantizar la seguridad de su personal mediante el conocimiento del nivel de inmunidad de su plantilla.” QUINTO: En respuesta a la pregunta acerca de cuál era la norma con rango formal de ley en la que funda la pretendida licitud del tratamiento de los datos de salud de los trabajadores relativo a su estado vacunal, RUBIATO responde: Por una parte, que “se encuentra legitimado por la excepción del artículo 9.2.
5. b)del RGPD” y añade “Así mismo consideramos aplicables los considerandos 46 y 52 del RGPD”. Aclara que “Esta parte entiende, que la prohibición del tratamiento de datos especialmente protegidos como la salud se levantaría en el supuesto de que el tratamiento sea necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, con fines de seguridad, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/47 supervisión y alerta sanitaria para la prevención o control de enfermedades transmisibles y otras amenazas graves para la salud.” Por otra parte, dice que “el tratamiento realizado se considera lícito por cuanto concurre la condición del artículo 6.1.
6. c)del RGPD, en relación con la Ley 31/1995, de 8 de noviembre, de prevención de Riesgos Laborales (en adelante, Ley 31/1995) constituyen el fundamento del tratamiento de los datos de vacunación que realiza RUBIATO PAREDES.” SEXTO: Sobre el modelo de organización de la actividad preventiva que tenía implementado a tenor del Reglamento de desarrollo de la LPRL (RLPRL) aprobado por el Real Decreto 39/1997, RUBIATO manifiesta que cuenta, en todos sus centros de trabajo, con el servicio de prevención ajeno PREVENACTIVA, S.L.U. Aporta la copia del contrato que celebró con DEYRE PREVENCIÓN, S.L.U. (DEYRE) el 26/05/2015. La empresa PREVENACTIVA, S.L.U., se subrogó en la posición jurídica de DEYRE en fecha 1/01/2016, como consecuencia de la fusión por absorción de esta última por la primera, especificando la 1ªAdenda al contrato que se subroga “respetando en todo caso, la naturaleza, vigencia y condiciones del mismo”. En el contrato celebrado con DEYRE se estipuló que, de acuerdo con el Real Decreto 39/97, RUBIATO concierta la actividad preventiva, entre otras especialidades, en “Medicina del Trabajo”. El Anexo I al contrato [se] detalla[n] qué actuaciones han sido contratadas con DEYRE y, por lo que respecta a la especialidad de medicina del trabajo, se incluyen entre las actuaciones contratadas distintos tipos de revisiones médicas, la vigilancia periódica de la salud, el control de resultados con criterios epidemiológicos, informes correspondientes a la vigilancia de la salud o la valoración de riesgos para la salud a trabajadores especialmente sensibles a determinados riesgos. Además, el contrato especifica -cláusula séptima- que, respecto a la “vigilancia de la salud de los trabajadores” DEYRE “conservará toda la documentación que generen los reconocimientos realizados a los trabajadores, la cual cosa no impide que la empresa contratante reciba la información a la cual legalmente tiene derecho de acuerdo con el artículo 22 de la Ley de Prevención de Riesgos Laborales 31/95”. “El contenido de los reconocimientos médicos y otras declaraciones relativas a la seguridad de los trabajadores tendrá carácter confidencial, estando sujetas las personas que lo consulten, al deber de secreto profesional.” SÉPTIMO: RUBIATO aporta un documento denominado “Nombramiento coordinador PRL A.A.A.”, firmado el 4/05/2020. En el cuerpo del escrito consta que RUBIATO “contrata los servicios de SP ACTIVA”, entidad acreditada por el Departamento de Trabajo de la Generalitat de Cataluña, como servicio de prevención ajeno (SPA) “y tendrá la colaboración de la persona nombrada en esta acta, que actuará de enlace entre la empresa y el SPA. Por tanto, de conformidad con la ley, y con efectos desde el 4 de mayo de 2020, asume este nombramiento Dña. [A.A.A.]” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/47 OCTAVO: RUBIATO manifiesta que, en fechas previas a la primera declaración de estado de alarma contaba con 156 trabajadores distribuidos en tres centros de trabajo. NOVENO: RUBIATO manifiesta que la cifra de negocio global anual en el ejercicio 2020 fue de 32.510.000€ y la del Grupo Vall Companys, al que pertenece, de 2.188.000.000€ (dos mil ciento ochenta y ocho millones de euros) DÉCIMO: RUBIATO manifiesta que “la empresa no ha tenido conocimiento en ningún momento de la información necesaria para identificar los datos de vacunación con la identidad” de los trabajadores.>> TERCERO: La parte recurrente ha presentado en esta Agencia Española de Protección de Datos (AEPD) en fecha 05/04/2023 recurso de reposición en el que solicita que “se anule” la resolución sancionadora recaída en el expediente EXP202100106. Asimismo, solicita, de conformidad con el artículo 98.1.
7. b)de la LPACAP, que se acuerde la suspensión de “la ejecución del acto administrativo impugnado” y que “ésta produzca sus efectos durante la sustanciación del presente recurso de reposición, así como en la vía contencioso-administrativa” que según declara pretende iniciar si la resolución del recurso no satisface sus pretensiones. A propósito de la medida correctiva que, al amparo del artículo 58.2.
8. d)del RGPD, la AEPD impuso a RUBIATO en la resolución sancionadora impugnada, es importante subrayar que ha acreditado ante esta Agencia su cumplimiento a través de la documentación que aporta con el escrito de recurso. La recurrente invoca en defensa de su pretensión de que se anule la resolución sancionadora los siguientes argumentos que estructura en cinco epígrafes o “alegaciones”, que, en esencia, reiteran los argumentos que adujo en el curso del procedimiento sancionador: 1. “La legalidad del tratamiento de datos de salud por parte de la coordinadora de PRL de Rubiato Paredes” (alegación primera) Expone que el tratamiento de los datos de salud sobre el estado vacunal de los empleados de RUBIATO estaba legitimado por la excepción del artículo 9.2.
9. b)del RGPD y que el “tratamiento realizado se considera lícito por cuanto concurre la condición del artículo 6.1.
10. c)del RGPD, es decir, que el tratamiento de los datos de vacunación era necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, en concreto, de la LPRP.” Manifiesta que, si bien cuenta con un servicio de prevención de riesgos laborales ajeno (contratado con PREVENACTIVA, S.L.U.) se nombró a doña A.A.A. como “coordinadora y punto de contacto” entre el servicio de prevención y RUBIATO, y que una de las funciones principales de doña A.A.A. es la coordinación con el servicio de prevención ajeno “en todo lo relativo a la materia de prevención de riesgos laborales, de manera que se facilite su gestión respetando en todo momento lo indicado por la Ley 31/1995.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/47 Afirma que ha sido “la interpretación de la normativa en materia de prevención de riesgos laborales” la que le llevó a considerar “necesaria para la correcta gestión de la afección por COVID-19 en los centros de trabajo y, sobre todo, para garantizar la protección colectiva de la salud de las personas trabajadoras, la consulta del estado de inmunidad de la plantilla” pues entendió que tal solicitud “se encuentra amparada por los supuestos recogidos en el artículo 22.4 de la LPRL.” Dice sobre ese particular: “[…] reiteramos que todo tratamiento de datos médicos relativos a la obligación de velar por la salud de las personas trabajadoras se realiza a través del servicio de prevención de riesgos laborales ajeno contratado a tal efecto. […], la coordinadora de prevención de riesgos laborales únicamente tiene conocimiento de las “conclusiones que se deriven de los reconocimientos efectuados en relación con la aptitud del trabajador para el desempeño del puesto de trabajo o con la necesidad de introducir o mejorar las medidas de protección y prevención” (artículo 22.4 de la LPRL).” (El subrayado es nuestro) “[…], centrándonos en la figura de las personas u órganos con responsabilidades en materia de prevención, en este caso, la coordinadora de prevención de riesgos laborales de RUBIATO PAREDES, se encuentra legitimada para el acceso a determinados datos de carácter personal relativos a la salud de las personas trabajadoras. Así, a pesar de no ser personal sanitario, se encuentra legitimada para conocer determinados datos de salud de las personas trabajadoras, como puede ser el APTO, NO APTO, la baja laboral por Accidente de Trabajo o Enfermedad Profesional o si, por ejemplo, la persona tiene reconocido un determinado grado de discapacidad. Esto es, la información relativa a la aptitud del trabajador con la finalidad de introducir o mejorar las medidas de protección y prevención. Esta finalidad es la que precisamente ha llevado a RUBIATO PAREDES, exclusivamente desde el área de prevención de riesgos laborales en todo momento, a consultar el estado de vacunación de las personas trabajadoras.” Argumenta que, en determinados supuestos, “que no cuestionamos que deben ser limitados y estrictamente necesarios respetando el principio de minimización de datos”, “podrán acceder a información personal relacionada con la salud de la persona trabajadora que desborda los límites relativos a la aptitud de la persona trabajadora” tanto el empresario como las personas con responsabilidades en materia de prevención de riesgos laborales, como sería en este caso doña A.A.A. Justifica la afirmación precedente con la conclusión extraída del siguiente párrafo, obtenido del documento “Preguntas y respuestas” publicado en la página web de la Agencia que es accesible desde https://www.aepd.es/documento/es/documento/faqcovid_19.pdf”: “La persona trabajadora en situación de baja por enfermedad no tiene obligación de informar sobre la razón de la baja a la empresa, sin embargo, este derecho individual puede ceder frente a la defensa de otros derechos como el derecho a la protección de la salud del colectivo de trabajadores en situaciones de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/47 pandemia y, más en general, la defensa de la salud de toda la población”. (El subrayado es nuestro) La recurrente concluye a la luz del fragmento transcrito que la AEPD ha extendido el ámbito de conocimiento por el empresario de los datos de salud de los trabajadores “a la afección o no por Covid-19” “con la finalidad de poder organizar y adoptar las medidas necesarias de seguridad. En concreto se permitió que el empresario conociera: la existencia de síntomas, o si la persona trabajadora ha sido diagnosticada como contagiada o sujeta a cuarentena”. (El subrayado es nuestro) Y continúa explicando que, al igual que la normativa de protección de datos no ha sido un obstáculo “para ampliar el conocimiento de la afección por coronavirus de las personas trabajadoras” “no debería ser un obstáculo en un contexto de emergencia sanitaria como en la que nos encontrábamos” para llevar a cabo el tratamiento de datos de las personas trabajadoras que ella ha efectuado. Por último, indica que actuó de buena fe; que la situación en la que acontecieron los hechos era de gran incertidumbre y que ha sido una única persona, la coordinadora de prevención de riesgos laborales, doña A.A.A., quien ha tenido conocimiento de los datos de vacunación de las personas trabajadoras. 2. “El Plan de contingencia frente al Covid de Rubiato Paredes” (alegación segunda) Por medio de esta alegación busca “matizar” la afirmación que hizo en su respuesta al traslado de la Subdirección de Inspección de Datos. Dice en este sentido: “[…] debemos matizar en respuesta a lo indicado por la AEPD en su resolución del procedimiento sancionador, que cuando esta parte afirmaba que en el Plan de contingencia frente al COVID de Rubiato Paredes” se incluirían referencias concretas a las personas trabajadoras vacunadas, se refería en todo momento a lo indicado por el Ministerio de Sanidad en su “Procedimiento de actuación para los Servicios de Prevención de Riesgos Laborales frente a la exposición al Sars-CoV-2” respecto a la exención de la cuarentena a las personas vacunadas: “Contactos vacunados: las personas trabajadoras que han recibido una pauta de vacunación completa y sean consideradas como contacto estrecho estarán exentas de la cuarentena si utilizan EPIs adecuados”. (El subrayado es nuestro) Así, la intención de esta inclusión era mantener en todo momento correctamente informado a las personas trabajadoras de RUBIATO PAREDES respecto a las instrucciones realizadas por el Ministerio de Sanidad y el protocolo de actuación que se actualizaba conforme se modificaban dichas instrucciones del Ministerio de Sanidad. En ningún caso se indica, ni ha pretendido esta parte, incluir en el Plan de contingencia frente al COVID medidas diferenciadas hacia las personas vacunadas más allá de poner en conocimiento de las personas trabajadoras el protocolo de actuación que se seguiría en caso de contactos estrechos vacunados.” (El subrayado es nuestro) 3. “Cooperación con las autoridades sanitarias y de salud pública para la campaña de vacunación” (alegación tercera) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/47 “En línea con lo alegado por esta parte en el escrito de alegaciones a la Propuesta de resolución del procedimiento sancionador, en diferentes Comunidades Autónomas las autoridades sanitarias solicitaban información a las empresas con la finalidad de gestionar campañas de vacunación contra la COVID en los centros de trabajo, como evidencia el escrito recibido por la empresa AVIDEL (empresa perteneciente al Grupo Vall Companys) de la Agencia de Salud Pública de Cataluña y que se adjunta como DOCUMENTO Nº1. RUBIATO PAREDES, empresa dedicada al sector alimentario, expuesta a un mayor riesgo durante la crisis sanitaria ocasionada por la COVID-19 y cuya continuidad respecto a la prestación de sus actividades se considera esencial, como se ha reiterado a lo largo del procedimiento sancionador, ha colaborado en todo momento con las autoridades sanitarias y, especialmente, durante las campañas de vacunación. En este sentido, al contar con un servicio de prevención de riesgos laborales ajeno, se nombró a doña A.A.A. como coordinadora y punto de contacto entre el servicio de prevención de riesgos laborales ajeno y RUBIATO PAREDES para facilitar, entre otros aspectos, la gestión de los trámites necesarios en materia de prevención de riesgos laborales, teniendo en cuenta que los profesiones del servicio de prevención ajeno no se encuentran en las instalaciones de las empresas ni acuden con frecuencia al mismo. Respecto a la gestión de la pandemia ocasionada por la COVID-19, la coordinadora de prevención de riesgos laborales ha colaborado en todo momento con el servicio de prevención de riesgos laborales ajeno con el objetivo de garantizar una gestión eficiente y facilitar la cooperación con las autoridades sanitarias y de salud pública. El papel de cooperación de la coordinadora ha sido indispensable en el contexto sanitario en el que nos encontrábamos para controlar la transmisión y aplicar las medidas de seguridad colectiva necesaria a efectos de garantizar la continuidad de la prestación del servicio y, sobre todo, la salud y seguridad de las personas trabajadoras. 4. “Acreditación de la supresión y bloqueo de datos relativos al estado de vacunación de las personas trabajadoras” (alegación cuarta) La recurrente aporta como documento anexo 2 un informe firmado por el representante legal de la entidad “que detalla y acredita el cumplimiento de la medida de supresión y bloqueo de los datos” que se ordenó en la resolución impugnada. 5. “Reiteración del contexto sanitario en el que se producen los hechos” (alegación quinta) Insiste en invocar como “atenuante” de la sanción impuesta la circunstancia del “contexto de emergencia sanitaria en el que nos encontrábamos en el momento en el que se produjeron los hechos”. Manifiesta su rechazo a lo que denomina “el criterio de la AEPD al considerar que en el momento del envío del correo electrónico controvertido se había superado la peor C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/47 fase de la crisis sanitaria”. En ese sentido expone que “Sin duda, no nos encontrábamos en el peor momento de la crisis sanitaria, pero ello no implica que no continuáramos en una situación de máxima incertidumbre” y que “con el conocimiento que tenemos hoy, valoramos de forma más restrictiva muchas de las actuaciones realizadas o decisiones tomadas”. Reitera la condición de RUBIATO como empresa del sector alimentario, (una actividad esencial y presencial), dice que se solicitó a los trabajadores de “forma voluntaria” información sobre el estado vacunal y menciona que las autoridades sanitarias de diferentes Comunidades Autónomas solicitaron a las empresas privadas información sobre el estado de vacunación. En tal sentido, dice la parte recurrente: “La particular condición de RUBIATO PAREDES como empresa del sector alimentario, (una actividad esencial y presencial), unido a las solicitudes del estado de vacunación a la empresa privada por las autoridades sanitarias de diferentes comunidades autónomas, así como la necesidad de garantizar la protección colectiva de los trabajadores en el entorno laboral, fueron los motivos por los que se consideró necesario solicitar de forma voluntaria a los trabajadores el estado de vacunación, con el objeto de adoptar las máximas medidas de seguridad y vigilancia de salud para proteger de forma simultánea y colectiva a los trabajadores expuestos a los riesgos que presentaba crisis sanitaria ocasionada por el COVID-19, y así mismo garantizar el suministro y abastecimiento de alimentos de la población.” (El subrayado es nuestro) Aporta estos documentos: Como anexo 1, un documento que titula “Comunicación de la Agencia de Salud Pública de Cataluña relativa a la campaña de vacunación”. Lleva el escudo de la Generalidad de Cataluña, está redactado en catalán y va dirigido a la empresa “AVIDEL”. Su texto es el siguiente (traducción no oficial): “Su empresa ha aceptado la propuesta de vacunación Covid-19 para los trabajadores que ha ofertado el Departamento de Salud -Región Sanitaria de (…). Para que la vacunación de sus trabajadores sea un éxito haría falta tener en cuenta las siguientes premisas: No se vacunarán: -Los trabajadores menores de 18 años (por edad no pueden vacunarse) -Las personas que hayan pasado -Mujeres embarazas y/o lactantes Las embarazadas, lactantes o personas que hayan pasado el Covid-19 en los últimos seis meses han de contactar con su CAP de referencia con la tarjeta sanitaria individual, DNI o NIF para vacunarse. Los trabajadores que hayan iniciado la vacunación No han de acudir, han de continuar con la pauta vacunal iniciada. El día de la vacunación, todos los trabajadores deberán de llevar su tarjeta sanitaria individual, DNI o NIF para poder ser identificados. Solo se vacunará a las personas que consten en el censo que la empresa ha hecho llegar a Salud. El Servicio de Prevención de Riesgos Laborales (SPRL) en su papel de colaborador de las autoridades sanitarias y los servicios de salud pública, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/47 beneficio de sus trabajadores podrán ayudar a evitar contagios y controlar la transmisión de la enfermedad asesorando en el despliegue del dispositivo de vacunación dentro de la empresa, en la aplicación de los criterios sanitarios y en la administración de vacunas con profesionales sanitarios acreditados.” Como anexo 2 aporta un informe emitido por su representante legal -condición que acredita mediante la escritura pública de apoderamiento otorgada a su favor el 07/01/2016- a través del que da cumplimiento a la medida correctiva que se le impuso en la resolución sancionadora, a tenor del artículo 58.2.
11. d)del RGPD, en la que se ordenaba que procediera a suprimir los datos de las personas trabajadoras relativos a la vacunación frente al Covid-19. En el informe se hace constar: Que el sistema de información que emplea para el almacenamiento de los datos de carácter personal que trata en calidad de responsable es la herramienta Sharepoint de Microsoft Office 365. “En concreto, los datos de carácter personal relativos al estado de vacunación se almacenaron en un documento de formato EXCEL, que permite, entre otras acciones, restringir la edición del documento o establecer contraseñas que impidan la visualización de su contenido mediante un control de accesos a los distintos archivos y carpetas que permite crear y administrar, así como disponer de un registro de las versiones generadas, las modificaciones realizadas, y las personas que han accedido o realizado cualquier tipo de acción sobre la información almacenada.” (El subrayado es nuestro) En el epígrafe del documento denominado “Supresión y bloqueo de los datos de carácter personal” expone que procedió a la “supresión de los datos de carácter personal relativos al estado de vacunación de sus personas trabajadoras con fecha 31/01/2022, momento en el que se produjo el último acceso por parte de la Coordinadora de prevención de riesgos laborales.” Que “Dicha supresión ha supuesto el bloqueo de los datos de carácter personal, permaneciendo a disposición de la administración pública, jueces y tribunales para la atención y defensa de las posibles responsabilidades nacidas del tratamiento por el plazo de prescripción de éstas últimas.” Explica que el bloqueo de la información queda acreditado al haberse restringido la visualización del contenido del documento mediante una contraseña que únicamente posee el Departamento de Sistemas de Información de RUBIATO. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la LOPDGDD. II Contestación a las alegaciones presentadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/47 1.Los argumentos que la parte recurrente esgrime en su defensa son, en lo esencial, una reiteración de los que formuló durante la tramitación del expediente sancionador. Se examinan a continuación las consideraciones más destacadas que se hacen en el escrito de recurso. 1.1. A través de la alegación primera la recurrente defiende la legalidad del tratamiento de los datos de salud relativos al estado vacunal de sus trabajadores que ha efectuado a través de su empleada, doña A.A.A., quien fue nombrada en 2020 coordinadora de prevención de riesgos laborales. Las cuestiones que se plantean en el marco de esta alegación, con carácter general, son analizadas y contestadas en los Fundamentos III a VI de la resolución impugnada. Considera, al igual que manifestó en el curso del procedimiento sancionador, que la prohibición general para tratar datos de salud establecida en el artículo 9.1 del RGPD quedó levantada al amparo del artículo 9.2.
12. b)del RGPD, en conexión con la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales (LPRL), y que la base jurídica del tratamiento estaría constituida por el artículo 6.1.
13. c)del RGPD en conexión con la citada LPRL, artículo 22.4. La recurrente no introduce nuevos argumentos para sustentar la pretendida licitud del tratamiento. Las consideraciones novedosas que hace en el marco de la alegación primera del recurso o son irrelevantes, por cuanto nada tienen que ver con la licitud del tratamiento, o versan sobre la particular “interpretación” que ella ha hecho de las normas de la LPRL aplicables, o bien recogen afirmaciones que no se ajustan a la realidad de los hechos examinados. -En uno de los párrafos de la alegación primera la recurrente parece dar a entender -habida cuenta de la ambigüedad de la redacción, ya que enlaza un comentario con el texto de una disposición- que doña A.A.A., quien fue nombrada “coordinadora y punto de contacto” entre RUBIATO y el servicio de prevención externo, no había llegado a tener conocimiento de la situación vacunal “personal” de los empleados de RUBIATO sino únicamente de las “conclusiones”, pues dice: <<la coordinadora de prevención de riesgos laborales únicamente tiene[n] conocimiento de las “conclusiones que se deriven de los reconocimientos efectuados en relación la aptitud del trabajador para el desempeño del puesto de trabajo o con la necesidad de introducir o mejorar las medidas de protección y prevención” (artículo 22.4 de la LPRL).>> (El subrayado es nuestro) Con independencia de lo que se haya querido expresar en dicho párrafo, lo cierto es que no responde a la situación fáctica que fue objeto de valoración en la resolución impugnada. En ese párrafo se alude a una situación en la que los servicios de prevención de riesgos laborales llevan a cabo un examen y valoración de la aptitud del trabajador para el desempeño del puesto de trabajo y posteriormente dan acceso a sus “conclusiones” a la coordinadora de riesgos laborales. Sin embargo, no se corresponden ni el párrafo transcrito ni la disposición de la LPRL mencionada con el supuesto de hecho aquí planteado, en el que fue doña A.A.A. quien desde su cuenta corporativa (***USUARIO.1@rubiatoparedes.com) envió a la plantilla de empleados el 07/06/2021 un correo electrónico firmado por ella, en el que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/47 además no se identificaba como coordinadora de riesgos laborales sino como <<Dpto. Desarrollo y Gestión de Personas>>, en el que consta como asunto “¿Te han vacunado (COVID) ya? Tienes cita para ello?”. Y en el mensaje enviado a los empleados el 07/06/2021 se les pide información sobre su estado vacunal de manera que la información facilitada quedase vinculada a la identidad del empleado que responde, por lo que la información a la que accedió RUBIATO a través de doña A.A.A. fue a los datos de salud de sus trabajadores. Cabe añadir, por si hubiera alguna duda al respecto, que doña A.A.A. no forma parte de la empresa con la que RUBIATO contrató los servicios de prevención y, en consecuencia, no forma parte de la organización a través de la cual se desarrollan las actividades preventivas. Por el contrario, forma parte de la plantilla de RUBIATO. Esto, por más que el DPD de la entidad, en su respuesta al traslado, sostenga que doña A.A.A. formaba parte del “Área de Prevención de Riesgos Laborales”. El R.D.39/1997 por el que se aprueba el Reglamento de desarrollo de la LPRL, cuyo capítulo III está dedicado a la “Organización de recursos para las actividades preventivas”, establece en el artículo 10, “Modalidades”: “1. La organización de los recursos necesarios para el desarrollo de las actividades preventivas se realizará por el empresario con arreglo a alguna de las modalidades siguientes:
14. a)Asumiendo personalmente tal actividad.
15. b)Designando a uno o varios trabajadores para llevarla a cabo.
16. c)Constituyendo un servicio de prevención propio) d)Recurriendo a un servicio de prevención ajeno” (El subrayado es nuestro) Como consta en el Hecho Probado sexto de la resolución impugnada se preguntó a la parte recurrente en fase de prueba cuál era el modelo de organización de la actividad preventiva que tenía implementado a tenor del Reglamento de desarrollo de la LPRL (R.D. 39/1997) y manifestó que cuenta en todos sus centros con los servicios de la entidad PREVENACTIVA, S.L.U., en virtud de un contrato suscrito en fecha 26/05/2015 en el que esta entidad se había subrogado. Asimismo, consta en el Hecho Probado séptimo el documento que RUBIATO aportó para acreditar el nombramiento en fecha 04/05/2020 de doña A.A.A. como coordinadora de prevención. En él se indica que RUBIATO contrata los servicios de “SP ACTIVA” y, además, que contará con la colaboración de doña A.A.A., “que actuará de enlace entre la empresa y el SPA” (ver Hecho Probado séptimo). -En otro de sus párrafos el escrito de recurso admite que doña A.A.A. sí tuvo conocimiento de los datos de vacunación de los trabajadores (afirma que el “conocimiento de los datos de vacunación de las personas trabajadoras” se ha circunscrito a doña A.A.A.) y en defensa de la licitud de ese tratamiento alude a la/s finalidad/es que con él se perseguían. Así, alega que el tratamiento resultaba “necesario” para: (
17. i)“gestionar la campaña de vacunación en colaboración con las autoridades sanitarias y de salud pública” y (
18. ii)“conocer la inmunidad de la plantilla para garantizar una correcta reorganización y medidas de seguridad colectiva de las personas trabajadoras.” Reproducimos el párrafo en cuestión: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/47 “el conocimiento de los datos de vacunación de las personas trabajadoras se ha limitado única y exclusivamente a una persona, esto es, la coordinadora de prevención de riesgos laborales en el desempeño de sus funciones de colaboración […] y abarca […] la información necesaria a efectos de gestionar la campaña de vacunación en colaboración con las autoridades sanitarias y de salud pública y, principalmente, de conocer la inmunidad de la plantilla para garantizar una correcta reorganización y medidas de seguridad colectiva de las personas trabajadoras.” (El subrayado es nuestro) Por lo que respecta a las finalidades para las cuales resultaba necesario en opinión de la parte recurrente el tratamiento efectuado, además de reiterar el significado unívoco que tiene en el Derecho Comunitario el término necesario, tal y como se recoge en la resolución impugnada, se hacen las siguientes precisiones: (
19. i)En cuanto a la supuesta finalidad del tratamiento consistente en “gestionar la campaña de vacunación en colaboración con las autoridades sanitarias y de salud pública” se debe subrayar que la “gestión” de una campaña de vacunación, y más aún la del Covid-19, no es competencia de una empresa privada sino de las autoridades sanitarias a quienes la Ley les atribuya esa función y no existe ninguna disposición en virtud de la cual se encomiende a una empresa como RUBIATO la “gestión” de la citada campaña de vacunación. (
20. ii)En cuanto a la segunda de las supuestas finalidades del tratamiento efectuado, la de “conocer la inmunidad de la plantilla para garantizar una correcta reorganización y medidas de seguridad colectiva”, la recurrente, como ya hizo en el curso del procedimiento, ha buscado establecer un paralelismo entre el tratamiento de datos de salud de sus empleados sobre el que versó la conducta infractora y el tratamiento que, dice, se efectúa en aquellos supuestos en los que “la coordinadora de prevención de riesgos laborales de RUBIATO PAREDES, […]se encuentra legitimada para conocer determinados datos de salud de las personas trabajadoras, como puede ser el APTO, NO APTO, la baja laboral por Accidente de Trabajo o Enfermedad Profesional o si la persona tiene reconocido un determinado grado de discapacidad”. Respecto a dichos tratamientos explica que su finalidad es “introducir o mejorar las medidas de protección y prevención”. Tras lo cual concluye afirmando que “Esta finalidad es la que ha llevado a RUBIATO PAREDES […] a consultar el estado de vacunación de las personas trabajadoras”. (El subrayado es nuestro) A propósito de la afirmación que hace el escrito de recurso sobre la supuesta legitimidad que doña A.A.A. tendría para tratar determinados datos de salud de los trabajadores -“como puede ser el APTO, NO APTO, la baja laboral por Accidente de Trabajo o Enfermedad Profesional o si la persona tiene reconocido un determinado grado de discapacidad a los tratamientos indicados”- es necesario advertir que esta persona, por su condición de coordinadora o enlace entre la empresa para la que trabaja, RUBIATO, y aquella con la que RUBIATO tiene contratado los servicios de prevención, no puede tener otra legitimidad que la que tendría la empresa en virtud del artículo 22.4 de la LPRL, incisos segundo y tercero: “El acceso a la información médica de carácter personal se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/47 de los trabajadores, sin que pueda facilitarse al empresario o a otras personas sin consentimiento expreso del trabajador. No obstante lo anterior, el empresario y las personas u órganos con responsabilidades en materia de prevención serán informados de las conclusiones que se deriven de los reconocimientos efectuados en relación con la aptitud del trabajador para el desempeño del puesto de trabajo o con la necesidad de introducir o mejorar las medidas de protección y prevención, a fin de que puedan desarrollar correctamente sus funciones en materia preventiva.” (El subrayado es nuestro) Cuestión distinta es que el departamento de recursos humanos de la empresa pueda acceder a información de los trabajadores relativa a su condición de “APTO, NO APTO, la baja laboral por Accidente de Trabajo o Enfermedad Profesional o si la persona tiene reconocido un determinado grado de discapacidad” como condición necesaria para poder cumplir con determinadas obligaciones legales. - La recurrente insiste en que ha sido “la interpretación de la normativa en materia de prevención de riesgos laborales” la que le llevó a considerar “necesaria para la correcta gestión de la afección por COVID-19 en los centros de trabajo y, sobre todo, para garantizar la protección colectiva de la salud de las personas trabajadoras, la consulta del estado de inmunidad de la plantilla” pues entendió que tal solicitud “se encuentra amparada por los supuestos recogidos en el artículo 22.4 de la LPRL.” Transcribe de nuevo un fragmento -en este caso solo un párrafo- obtenido del documento “Preguntas y respuestas” publicado en la página web de la Agencia que es accesible desde https://www.aepd.es/documento/es/documento/faq-covid_19.pdf”: “La persona trabajadora en situación de baja por enfermedad no tiene obligación de informar sobre la razón de la baja a la empresa, sin embargo, este derecho individual puede ceder frente a la defensa de otros derechos como el derecho a la protección de la salud del colectivo de trabajadores en situaciones de pandemia y, más en general, la defensa de la salud de toda la población”. Y concluye que la AEPD ha extendido el ámbito de conocimiento del empresario de los datos de salud de los trabajadores “a la afección o no por Covid-19” por lo que, dice, al igual que la normativa de protección de datos no ha sido un obstáculo “para ampliar el conocimiento de la afección por coronavirus de las personas trabajadoras” “no debería ser un obstáculo en un contexto de emergencia sanitaria como en la que nos encontrábamos” para llevar a cabo el tratamiento de datos de las personas trabajadoras que ella ha efectuado. Ese alegato de la recurrente fue examinado con detalle en el Fundamento VI de la resolución impugnada, subepígrafe 1, en el que se advirtió que RUBIATO había omitido en las conclusiones a las que dice llegar a la vista de la respuesta informativa que ofrecía la página web de la AEPD las premisas fundamentales de esa información. Y se indicó también que el sentido del texto (sin omitir como hizo la ahora recurrente los presupuestos de la información) estaba en total sintonía con la previsión del artículo 22.4 de la LPRL. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/47 1.2.- En la alegación segunda del recurso, que lleva por rúbrica “El plan de contingencia frente al Covid de Rubiato Paredes”, la parte recurrente hace esta precisión sobre el sentido de lo afirmado en su escrito de respuesta al traslado de la reclamación: “[…] debemos matizar en respuesta a lo indicado por la AEPD en su resolución del procedimiento sancionador, que cuando esta parte afirmaba que en el Plan de contingencia frente al COVID de Rubiato Paredes” se incluirían referencias concretas a las personas trabajadoras vacunadas, se refería en todo momento a lo indicado por el Ministerio de Sanidad en su “Procedimiento de actuación para los Servicios de Prevención de Riesgos Laborales frente a la exposición al Sars-CoV-2” respecto a la exención de la cuarentena a las personas vacunadas: “Contactos vacunados: las personas trabajadoras que han recibido una pauta de vacunación completa y sean consideradas como contacto estrecho estarán exentas de la cuarentena si utilizan EPIs adecuados”. (El subrayado es nuestro) En el Antecedente segundo de la resolución impugnada se recoge que, de conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de la reclamación a RUBIATO, que aceptó la notificación el 08/07/2021, a fin de que la analizara y respondiera a la información solicitada. En su respuesta al traslado, de fecha 08/08/2021, además de remitirnos la copia del mensaje electrónico que envió a los trabajadores el 05/08/2021 “para subsanar la falta de información” del primero, dice en el punto 4: “4.A fin de evitar que se produzcan incidencias similares, se ha procedido a adoptar las siguientes medidas:
21. a)El “Plan de contingencia frente a COVID-19 de Rubiato Paredes” se encuentra en proceso de actualización y adecuación a la situación epidemiológica actual en España, así como a las recomendaciones efectuadas por el Ministerio de Sanidad en la nueva versión del “Procedimiento de actuación para los Servicios de Prevención de Riesgos Laborales frente a la exposición al Sars-CoV-2”. Así, se incluirán referencias concretas a las personas trabajadoras vacunadas, indicando lo siguiente: - La recogida de los datos de vacunación de los empleados por parte del servicio de Prevención de Riesgos Laborales a fin de realizar una correcta prevención de contagios en los centros de trabajo. - En ningún caso la vacunación exime al trabajador de mantener todas las medidas de prevención y protección establecidas hasta el momento. Así mismo, se encuentra en proceso de actualización y adaptación el “Protocolo de actuación casos COVID”, que incluirá los siguientes aspectos: - Guía de actuación para la gestión de la vulnerabilidad y el riesgo teniendo en cuenta la vacunación de los empleados que pertenezcan a los grupos vulnerables determinados. - Criterios de realización de cuarentena para los contactos completamente vacunados.
22. b)La información sobre los datos de vacunación de los empleados se encuentra únicamente a disposición del área de Prevención de Riesgos Laborales. Rubiato Paredes solamente tiene acceso a un Excel en el que se registran, de forma anonimizada, el estado de inmunidad de la plantilla, al que tiene acceso una persona del área de Recursos Humanos.”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/47 Nada cabría objetar a esa manifestación realizada por el DPD en su respuesta al traslado si los términos que en ella se fijan se hubieran mantenido en las alegaciones posteriores formuladas por la reclamada y ahora parte recurrente. El texto de la respuesta del DPD hace una correcta diferenciación entre lo que es el servicio de Prevención de Riesgos Laborales (servicio ajeno con el que RUBIATO ha contratado) y la empresa reclamada, a la que se prestan los servicios, RUBIATO. El texto además incide en que RUBIATO, a través de una persona del área de Recursos Humanos, solo accederá a la información anonimizada que se le facilite a través de un documento Excel. Sin embargo, la tesis defendida en el curso del procedimiento ha sido otra: que la empleada de la empresa RUBIATO que -en palabras del reclamante pertenecía al departamento de RRHH- fue nombrada coordinadora de PRL, que pertenece al “Área de prevención de riesgos de la empresa” y que está legitimada para acceder a la información vacunal de los empleados. 1.3.-En la alegación tercera del escrito de recurso, bajo el título “Cooperación con las autoridades sanitarias y de salud pública para la campaña de vacunación”, la recurrente aduce que las autoridades sanitarias de diferentes CCAA “solicitaban información a las empresas con la finalidad de gestionar campañas de vacunación contra la COVID en los centros de trabajo, como evidencia el escrito recibido por la empresa AVIDEL (empresa perteneciente al Grupo Vall Companys) de la Agencia de Salud Pública de Cataluña y que se adjunta como DOCUMENTO Nº1.” En conexión con ese alegato la recurrente insiste en que RUBIATO ha colaborado en todo momento, y especialmente durante las campañas de vacunación, con las autoridades sanitarias y que la cooperación de doña A.A.A. “ha sido indispensable en el contexto sanitario en el que nos encontrábamos para controlar la transmisión y aplicar las medidas de seguridad colectiva necesaria a efectos de garantizar “la salud y seguridad de las personas trabajadoras”. Respecto a la supuesta solicitud que las autoridades sanitarias de las CCAA habrían hecho a las empresas privadas sobre el estado de vacunación de sus empleados, hemos de indicar que el documento anexo 1 aportado por la recurrente –que ella titula “Comunicación de la Agencia de Salud Pública de Cataluña relativa a la campaña de vacunación” y cuyo texto se reproduce en el Hecho Tercero de esta resolución redactado en castellano (traducción del catalán no oficial)- no ofrece ningún elemento del que pueda inferirse, ni siquiera de manera indiciaria, que las autoridades sanitarias autonómicas hubieran solicitado a la empresa destinataria de la carta -AVIDEL- que llevara a cabo un tratamiento de los datos de vacunación de sus empleados análogo al que constituye la conducta infractora de la que se responsabiliza a la parte recurrente. Tampoco hay en dicho escrito (en contra de lo que aduce la recurrente) ninguna petición de las autoridades sanitarias autonómicas a la empresa AVIDEL para que le facilite “información sobre el estado de vacunación” de sus empleados. Por el contrario, el escrito que la Agencia de Salud Pública de la Generalitat de Cataluña envía a la empresa AVIDEL se limita a recordarle que ha aceptado la oferta de ese organismo público para vacunar a sus trabajadores y, a continuación, le facilita unas directrices para que la vacunación contra el Covid-19 que van a llevar a cabo en la empresa sea un éxito. Directrices que versan sobre qué trabajadores pueden C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/47 vacunarse y cuáles no y sobre la documentación que deberán de portar ese día para identificarse. El último párrafo de la carta que la autoridad de salud pública de la Comunidad Autónoma envía a AVIDEL es particularmente clarificador pues hace referencia a los servicios de Prevención de Riesgos Laborales de la empresa y concreta en qué consiste la colaboración que esos servicios de PRL podrán prestar para evitar contagios y controlar la transmisión de la enfermedad: “[…] El Servicio de Prevención de Riesgos Laborales (SPRL) en su papel de colaborador de las autoridades sanitarias y los servicios de salud pública, en beneficio de sus trabajadores podrán ayudar a evitar contagios y controlar la transmisión de la enfermedad asesorando en el despliegue del dispositivo de vacunación dentro de la empresa, en la aplicación de los criterios sanitarios y en la administración de vacunas con profesionales sanitarios acreditados.” (El subrayado es nuestro) Se evidencia pues, con toda nitidez, que de ningún modo las autoridades sanitarias autonómicas han solicitado a la empresa información sobre el estado vacunal de los empleados y que de ningún modo se habilita a la empresa para tratar los datos de carácter personal de los empleados relativos a su estado vacunal en los términos en los que la recurrente los solicitó y recabó de los trabajadores merced al correo electrónico enviado el 07/06/2021 firmado por doña A.A.A. seguido de la indicación “Dpto. Desarrollo y Gestión de Personas” (Hecho Probado primero). 1.4.-Por lo que atañe a lo invocado por la recurrente en la alegación cuarta de su escrito de recurso -titulada “Acreditación de la supresión y bloqueo de datos relativos al estado de vacunación de las personas trabajadoras”- en la que detalla y acredita el cumplimiento de la medida de supresión y bloqueo de los datos que se ordenó en la resolución impugnada, basta señalar que consta debidamente registrado en esta Agencia el cumplimiento por la recurrente de la medida correctora ordenada al amparo del artículo 58.2.
23. d)del RGPD. 1.5.-A propósito de lo invocado en la alegación quinta del recurso, en la que la parte recurrente pide que se valore como atenuante el contexto sanitario en el que se produjeron los hechos y afirma que el requerimiento de información sobre el estado vacunal que dirigió a la plantilla tenía carácter voluntario y que las autoridades sanitarias de diferentes CCAA “solicitan a las empresas privadas información sobre el estado de vacunación”, además de dar por reproducidas las consideraciones hechas acerca de la pretendida solicitud de las CCAA a empresas privadas, nos remitimos al Fundamento IV de la resolución impugnada que lleva por rúbrica “Sobre el contexto sanitario y las obligaciones impuestas por la Ley 31/1995”. Cabe añadir que la actual parte recurrente invocó en sus alegaciones a la propuesta de resolución (Fundamento VII de la resolución impugnada) “que se valorase como atenuante de la sanción a imponer, “conforme al artículo 83.2.del RGPD”, sin especificar apartado alguno, (
24. i)la excepcionalidad de la situación en la que se produjeron los hechos; (
25. ii)la falta de información e incertidumbre ocasionada por la emergencia sanitaria; (iii) el carácter esencial de la actividad desarrollada por RUBIATO y (
26. iv)la legitimación de las empresas para el tratamiento de los datos de vacunación de sus trabajadores para las finalidades indicadas anteriormente.” La resolución sancionadora que se impugna respondió a esa petición diciendo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/47 “En primer término, que como en numerosas ocasiones ha informado la AEPD, la protección dispensada por el RGDP al derecho fundamental a la protección de datos de carácter personal no se ha visto menoscabada por la situación de pandemia. Cuando tuvo lugar la conducta infractora, el 7/06/2021, había finalizado el segundo estado de alarma acordado por el Real Decreto 923/2020, de 25 de octubre, que fue prorrogado por el Real Decreto 956/2020, de 3 de noviembre, desde el día 9/11/2020 hasta las 000:00 horas del 9/05/2021. Por tanto, en el momento de los hechos no podemos afirmar que estuviéramos ante una situación de “excepcionalidad. En cuanto a la falta de información e incertidumbre -debemos entender que incertidumbre jurídica- ocasionada por la situación de crisis sanitaria, nos remitimos una vez más a lo ya expuesto: a que la normativa vigente antes de la crisis sanitaria era clara y que la normativa dictada a raíz de la citada crisis que tenía rango de ley no introdujo ninguna modificación que afectara a la cuestión debatida. Y, finalmente, que la única legitimación que a la luz de esas dos normas tendrían las empresas sería la de conocer porcentajes de vacunados, información que debía ser, necesariamente, resultado de una actuación realizada conforme a Derecho, por tanto, sin que se identificara a las personas trabajadoras y habiendo adoptado las medidas de seguridad oportunas para lograrlo. Así pues, no pueden apreciarse las atenuantes invocadas de contrario.” Finalmente se debe señalar que el artículo 83.1 del RGPD obliga a las autoridades de control a garantizar que las multas que imponga por las infracciones del RGPD previstas en los apartados 4,5 y 6 del artículo 83 RGPD cumplan, en cada caso individual, los principios de efectividad, proporcionalidad y carácter disuasorio. Las sanciones impuestas a la parte recurrente en la resolución sancionadora que impugna por las infracciones de los artículos 9.1 y 6.1 del RGPD fueron, respectivamente, de 20.000€ y 10.000€. Una sanción de multa por un importe inferior no sería efectiva, ni proporcional, ni disuasoria. 2. Tal y como se ha expuesto en los párrafos precedentes -punto 1 de este Fundamento- las alegaciones que la recurrente efectúa en su recurso de reposición se analizaron y desestimaron en los Fundamentos de Derecho III a VI de la resolución impugnada que se reproducen a continuación: << III Tratamiento de datos del que se responsabiliza a RUBIATO y naturaleza de los datos Tratados 1. La conducta de RUBIATO que es objeto de este procedimiento sancionador trae causa del correo electrónico que envió a su plantilla de trabajadores el 07/06/2021 en el que solicitaba que, cada uno de ellos, de manera individual, le informara de si estaba o no vacunado frente al Covid-19; que, en caso afirmativo, indicara la fecha de vacunación y si su vacuna era de una o de dos dosis y, en esta última hipótesis, cuántas dosis le habían inoculado. En el supuesto de que no estuviera vacunado, se pedía al trabajador que informara si ya había sido citado para la vacunación. Se solicitaba, además, que enviara la información por WhatsApp o por correo electrónico, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/47 advirtiendo que si usaba este segundo medio debía identificarse con su nombre y apellidos. El mensaje electrónico fue enviado desde la dirección ***USUARIO.1@rubiatoparedes.com y está firmado por “A.A.A.” “Dpto. de Desarrollo y Gestión de Personas”. El DPD de RUBIATO reconoció en su respuesta a la solicitud informativa de la Subdirección de Inspección de la AEPD que el mensaje que se había enviado a la plantilla el 07/06/2021 “adolecía de una falta de información respecto a los datos de vacunación”, motivo por el cual había procedido a remitirles el 05/08/2021, casi dos meses después del primero, un nuevo mensaje por medio del cual entendía que “este error fue subsanado” y con el que se proporcionaba “a los empleados toda la información necesaria”. Entre ella, la relativa al fundamento o base jurídica del tratamiento de datos efectuado que, a su juicio, estaba constituida por “la relación laboral y el cumplimiento de una obligación legal.” Ese segundo mensaje, de 05/08/2021, se transcribe en el Hecho Probado segundo, por lo que omitimos aquí su reproducción. En él, la parte reclamada, además de facilitar la información que es preceptiva según el artículo 13 del RGPD, se pronuncia expresamente -a diferencia de lo que hizo en su primer mensaje- sobre el carácter voluntario de la respuesta de los empleados. Dice: “No se trata en ningún caso de una solicitud con carácter obligatorio, los empleados pueden facilitar la información sobre su estado de vacunación de forma totalmente voluntaria.” (El subrayado es nuestro) Además, en este mensaje la reclamada informa a los trabajadores de que “Los datos de vacunación únicamente son conocidos por el personal del Área de Prevención de Riesgos Laborales”. “El área de Prevención de Riesgos Laborales trasladará a la empresa los datos estadísticos del estado de inmunización en ningún caso la empresa tendrá conocimiento ni podrá asociar los datos de vacunación con la identidad de los empleados de Rubiato Paredes.” (El subrayado es nuestro) 2. A propósito del tratamiento que RUBIATO hizo de los datos de vacunación de las personas con quienes mantenía una relación laboral, en el acuerdo de inicio se advirtió que no obraban en el expediente documentos con la información vacunal frente al Covid-19 que los empleados facilitaron a la reclamada, tras lo cual, se añadía que, no obstante, sí existían otros elementos de juicio que permitían confirmar que la reclamada había recabado y tratado información de esa naturaleza relativa a sus empleados. Estos elementos eran, entre otros, algunas de las manifestaciones que el DPD de RUBIATO hizo en su respuesta a la solicitud informativa de la Subdirección de Inspección de Datos de la AEPD. Manifestaciones que, como se dijo en el acuerdo de inicio, en un caso, confirmaban directa y expresamente que la entidad había realizado el tratamiento sobre el que versa el procedimiento sancionador y, en otros, la confirmaban indirectamente, en la medida en que sus declaraciones solo cobraban sentido sobre la premisa de que los empleados hubieran llegado a proporcionarle la información que les había solicitado. Se reproducen, aún a riesgo de ser reiterativos, las siguientes manifestaciones hechas por el DPD de la reclamada en su respuesta a la solicitud informativa de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/47 Subdirección de Inspección de Datos (apartado Segundo, párrafos quinto y sexto de su escrito): “En ningún caso el conocimiento del estado de vacunación ha supuesto modificación alguna en las medidas de seguridad que Rubiato Paredes lleva aplicando desde el comienzo de la crisis sanitaria. En concreto, [...], los centros de trabajo se encuentran perfectamente adecuados a las medidas de seguridad dictadas para la prevención de los contagios por la Covid-19 (mascarillas, distancia de seguridad, aforo reducido, mamparas, etc.). [...]”. “Así mismo, no se ha producido ninguna diferencia de trato entre los empleados vacunados y no vacunados, manteniendo las mismas condiciones laborales.” “Cabe reiterar que la empresa no ha tenido conocimiento en ningún momento de la información necesaria para identificar los datos de vacunación con la identidad de los trabajadores, a esta información solamente ha accedido una persona del área de Prevención de Riesgos Laborales.” (El subrayado es nuestro) El acuerdo de inicio destacaba, además, los términos en los que estaba redactado el mensaje que RUBIATO envió a los trabajadores el 07/06/2021, en el que no se decía que fuera opcional para ellos proporcionar la información solicitada ni tampoco cabía deducir ese carácter de su tenor literal. A modo de ejemplo se citó en el acuerdo de inicio el siguiente párrafo del mensaje de RUBIATO: “Si no te han vacunado y tampoco tienes mensaje, NO debes indicarme nada. Sí deberás hacerlo cuando más adelante te citen para ello.” (El subrayado es nuestro) Se consideró que esa circunstancia, unida a que el mensaje se había enviado desde un departamento de la compañía, el de “Desarrollo y Gestión de Personas”, que el reclamante identificó en su escrito de reclamación como el de “RRHH”, y al importante número de empleados que integraban la plantilla -por encima de cien-, eran indicios de que la reclamada había recibido la respuesta de, al menos, algunos trabajadores con la que le proporcionaban información de su estado vacunal. Ahora bien, en la propuesta de resolución -a la vista del resultado de las pruebas practicadas- se advirtió que obraban en el expediente documentos que confirmaban que la parte reclamada trató durante cierto tiempo datos con información de los empleados relativa a su vacunación contra el Covid-19. En los Hechos Probados tercero y cuarto de esta resolución consta que RUBIATO aportó con su respuesta a las pruebas -documento número 7- una captura de pantalla obtenida de sus sistemas informáticos en fecha 18/01/2023 en la que puede verificarse que existe una carpeta denominada “RRHH” que contiene a su vez diversas subcarpetas y documentos, siendo uno de esos documentos, en formato Excel, el que lleva por título “VACUNADOS COVID RUBIATO PAREDES”. Este documento aparece “Modificado” el “31/01/2022” y “Modificado por” A.A.A. La reclamada comenta, a propósito de esa captura de pantalla obtenida de sus sistemas que aportó en la fase de prueba, que es un “pantallazo del sistema de información de la carpeta de Sharepoint con acceso limitado y exclusivo a [ A.A.A.], en donde se certifica la fecha del último acceso realizado por la coordinadora de PRL C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/47 a la hoja excel “VACUNADOS RUBIATO PAREDES”, momento en el cual se produce la supresión de los datos por dejar de ser útiles para la finalidad en la que fueron recabados, es decir la de garantizar la seguridad de su personal mediante el conocimiento del nivel de inmunidad de su plantilla.” La constatación de que existía un documento Excel - “VACUNADOS RUBIATO PAREDES”- en la carpeta de RRHH al que tenía acceso la empleada A.A.A., debe conectarse con el hecho de que, en la petición que la reclamada hizo a los trabajadores para que informaran de su estado vacunal, se adoptaban las cautelas para que la respuesta estuviera vinculada a la identidad de cada trabajador. Recordemos que el mensaje decía que podían responder vía WhatsApp o vía correo electrónico pero que en este caso debían indicar su “nombre y apellidos”. RUBIATO afirma que procedió a la supresión de los datos que se recogieron y que figuraban en el documento “VACUNADOS RUBIATO PAREDES” el 31/01/2022 y añade que la supresión “ha supuesto el bloqueo de los datos de carácter personal, permaneciendo a disposición de la administración pública, jueces y tribunales para la atención y defensa de las posibles responsabilidades nacidas del tratamiento por el plazo de prescripción de éstas últimas.” En definitiva, la captura de pantalla obtenida de sus sistemas que la reclamada aporta, acredita que se efectuó un tratamiento de datos de los empleados acerca de su vacunación contra el Covid-19. Tomando como referencia la fecha en la que RUBIATO envió a la plantilla el mensaje en el que solicitaba información vacunal, el 07/06/2021, y la fecha en la que afirma haber procedido al bloqueo de esos datos, el 31/01/2022, habrían transcurrido entre ambas fechas más de siete meses. 3. El RGPD define el “tratamiento” (artículo 4.2) como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” (El subrayado es nuestro) Así pues, la información sobre la vacunación frente al Covid-19 que RUBIATO recogió de los trabajadores, consultó y conservó durante cierto tiempo, constituye un “tratamiento” de “datos de carácter personal”, ya que la información estaba asociada al nombre y apellidos de cada trabajador, quienes debían hacerlos constar en su respuesta si la enviaban por correo electrónico o bien se encontraba vinculada a su número de teléfono móvil si enviaban la respuesta por WhatsApp. Y para el RGPD es “dato personal” (artículo 4.1) “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/47 4. Naturaleza de los datos sobre el estado vacunal de los empleados que han sido objeto de tratamiento por RUBIATO: Datos relativos a la salud. Es obligado analizar seguidamente si los datos personales concernientes a la vacunación que RUBIATO recabó de sus trabajadores tienen la naturaleza de datos “relativos a la salud”, con la consecuencia de quedar sometidos al régimen específico que diseña el artículo 9 del RGPD. Cuestión que no es baladí toda vez que esa disposición prevé para las categorías especiales de datos un régimen jurídico particular cuya “regla general” (apartado 1) es precisamente la prohibición de su tratamiento. El artículo 9 del RGPD bajo la rúbrica “Tratamiento de categorías especiales de datos personales” especifica en el apartado 1 qué datos tienen ese carácter e incluye entre ellos los “relativos a la salud”. El precepto dispone: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física.” (El subrayado es nuestro) A su vez, el RGPD, artículo 4.15, define los “datos relativos a la salud” como los “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud;”. (El subrayado es nuestro) Frente a la definición de “datos de carácter personal relacionados con la salud” que ofrecía el artículo 5.
27. g)del Reglamento de desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), aprobado por el Real Decreto 1720/2017 (RLOPD), el RGPD (artículo 4.15) integra en la categoría especial de datos relativos a la salud “la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud”. El considerando 35 del RGPD se refiere a ellos en los siguientes términos: <<Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo