1/12
Expediente N.º: EXP202102529
RESOLUCIÓN DE ARCHIVO DE ACTUACIONES
De las actuaciones practicadas por la Agencia Española de Protección de Datos y te-
niendo como base los siguientes:
HECHOS
PRIMERO: LIBERUM ASOCIACIÓN (en adelante, la parte denunciante), con fecha 26
de agosto de 2021, interpuso reclamación ante la Agencia Española de Protección de
Datos. La reclamación se dirige contra la UNIVERSIDAD DE NAVARRA, con NIF
R3168001J (en adelante, la parte denunciada).
Los motivos en que basa la reclamación son los siguientes:
La Asociación reclamante expone que la Universidad de Navarra ha remitido un correo
electrónico a sus alumnos en el que les anuncia que dicha entidad colaborará con el
SERVICIO NAVARRO DE SALUD en la Vacunación contra el COVID-19, y solicita a
los alumnos que informen sobre su situación respecto de la vacunación, antes del 1 de
septiembre de 2021, lo que entienden que supone un incumplimiento de la normativa
de protección de datos, ya que estaría accediendo a la historia clínica de los
estudiantes y cediendo los datos de vacunación a terceros. Añade en su escrito de
reclamación el literal de la comunicación remitida por la citada Universidad a los
alumnos conteniendo los siguientes párrafos relevantes:
“[…]
La Universidad de Navarra, de acuerdo con lo previsto en el artículo 7.1.n) del
Real Decreto por el que se aprueba el Estatuto del Estudiante Universitario, se en-
cuentra obligada a proporcionar a su alumnado información y formación sobre preven-
ción de riesgos y a disponer de los medios que garanticen su salud y seguridad en el
desarrollo de sus actividades de aprendizaje.
Entre las nuevas medidas, de acuerdo con las autoridades sanitarias en el ejer-
cicio de sus competencias, la Universidad de Navarra colaborará en la Campaña de
Vacunación frente al virus.
Os informamos que las autoridades sanitarias de Navarra han solicitado a la
Universidad que participe en la inoculación de la vacuna a sus estudiantes. Dicha va-
cuna se la entregará a la Universidad el Servicio Navarro de Salud, responsable de la
Campaña de vacunación.
Para facilitaros el acceso a la vacunación, os pedimos que nos informéis de
vuestra situación a través del siguiente enlace, antes del 1 de septiembre, tanto si ya
os habéis vacunado, como si estáis pendientes de recibir una o dos dosis.
La vacunación tendrá lugar desde el inicio del mes de septiembre. Con carác-
ter previo a la fecha, os entregarán la hoja informativa redactada por las autoridades
sanitarias en la que os informarán del tipo y marca de vacuna que se os ofrece y otras
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/12
cuestiones relacionadas con el proceso de vacunación.
Os recordamos que para cualquier duda relacionada con el Covid-19 y para co-
municar positivos y contactos estrechos, podéis contactar con la oficina médica virtual,
área Covid, a través del correo atencioncovid©unav.es o llamando al (…).
[…]”
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado la denuncia a la parte denunciada, para que pro-
cediese a su análisis e informase a esta Agencia en el plazo de un mes, de las accio-
nes llevadas a cabo para adecuarse a los requisitos previstos en la normativa de pro-
tección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públi-
cas (en adelante, LPACAP), fue recogido en fecha 4 de octubre de 2021, como consta
en el acuse de recibo que obra en el expediente.
Con fecha 26 de octubre de 2021 se recibe en esta Agencia escrito de respuesta indi-
cando, en síntesis, lo siguiente:
Que la solicitud de información efectuada se produce en relación con el correo
electrónico remitido a los estudiantes de la Universidad mediante el que se informaba
de las acciones llevadas a cabo para la protección de la salud de los trabajadores y
alumnos, así como de la colaboración entre la Institución y el Servicio Navarro de
Salud-Osasunbidea (en adelante, el “SNS-O”), en relación con la campaña de vacuna-
ción contra el COVID-19. Asimismo, y atendiendo a las peticiones formuladas por el
SNS-O, en dicho correo la Universidad ofrecía al alumno la posibilidad de informar de
su estado de vacunación.
Añaden que de ningún modo puede aseverarse que se esté coaccionando a los
alumnos para que faciliten información acerca de su estado de vacunación ya que se
indica, claramente, que se trata de una petición que se efectúa respecto de la situación
de vacunación con el único fin de facilitar las tareas llevadas a cabo por parte del SNS-
O, en la lucha contra la pandemia sufrida, a causa de la propagación universal del
SARS-CoV-2 y sus catastróficos efectos en la salud. Y todo ello con base en el acuer-
do alcanzado con el Gobierno de Navarra. Además, manifiestan que se ha manipulado
la información que se encuentra en el comunicado.
Continúan indicando que la base que legitimaría el tratamiento de datos de ca-
rácter personal que se podría llegar a efectuar sería el consentimiento de los estudian-
tes. Consentimiento que en ningún caso se encontraría viciado al no haberse estable-
cido ninguna condición que pudiese anular la correcta voluntad del interesado del tra-
tamiento. Ni hay, ni se ha previsto ninguna medida contraria a los intereses de aque-
llos alumnos que no proporcionen esta información de manera libre y voluntaria, como
no podría ser de otra manera.
En definitiva, y a la vista de lo recogido en la nota informativa remitida a los es-
tudiantes de la Institución, se desconoce el verdadero motivo por el cual se denuncia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/12
una vulneración de lo establecido en la normativa vigente en materia de protección no
existiendo cuestión de fondo alguna que ampare tal alegación, la cual consideramos
que puede venir empañada por una pretendida obtención de la vulneración de lo esta-
blecido por el artículo 15 de la Constitución Española que reconoce el derecho a la
vida y a la integridad física.
Según se ha venido manifestando a lo largo de este escrito, la Universidad, en
ningún caso, trata datos de carácter personal relacionados con el estado de vacuna-
ción de los estudiantes sin su aceptación expresa.
En este sentido, resulta necesario referir nuevamente que el objeto de la comu-
nicación realizada no es otro que cumplir con el objetivo del acuerdo de colaboración
alcanzado con el Gobierno de Navarra, en virtud de las actuaciones seguidas en su lu-
cha contra la pandemia SARS-CoV-2. Recalcándose el riguroso respeto de esta parte
con el imperio de la Ley y los derechos de las personas, lo que refuerza la diligencia
mostrada por la Universidad, así como los esfuerzos y proactividad de ésta en asegu-
rar y proteger la privacidad de los interesados.
TERCERO: Con fecha 24 de noviembre de 2021, de conformidad con el artículo 65 de
la LOPDGDD, se admitió a trámite la denuncia presentada.
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el artícu-
lo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad
con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, te-
niendo conocimiento de los siguientes extremos:
Solicitada a la parte denunciada la comunicación íntegra remitida a los estu-
diantes, base de legitimación para el tratamiento de datos especialmente protegidos
por esa Universidad, detalles de este tratamiento de datos y marco de medidas adop-
tadas ante la pandemia provocada por el SARS-CoV-2, con fecha de 17 de diciembre
de 2021 se recibe en esta Agencia, con número de registro O00007128e2100051725,
escrito de contestación remitido por la parte denunciada de la que extrae la siguiente
información:
- Se constata la veracidad del comunicado presentado en la denuncia según documento
nº 1.
A este respecto, la parte denunciada manifiesta que se trata de un comunicado
totalmente informativo, redactado para cumplir con la encomienda de la Consejería de
Salud del Gobierno de Navarra, autoridad sanitaria competente y organizadora de la
campaña de vacunación frente al COVID 19, a las Universidades de Navarra. Este he-
cho no es desconocido para la ciudadanía, ya que los medios de comunicación loca-
les, así como el propio Gobierno de Navarra en nota de prensa publicada en Nava-
rra.es, se han hecho eco de tal colaboración.
Adjuntan como documento nº 2 la nota de prensa cuyo título reza “El Gobierno
de Navarra acuerda con las universidades un procedimiento para vacunar a sus estu-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/12
diantes de otras comunidades y países”. De esta nota de prensa se extrae el siguiente
contenido relevante para el caso que nos ocupa:
“[...] La labor administrativa inicial se realiza por parte de las universidades, que
deberán suministrar al Departamento de Salud un listado con las personas que vayan
a recibir la vacuna, de modo que su identidad pueda quedar registrada en las bases
de datos sanitarias.
En el caso de la Universidad Pública de Navarra (UPNA), la vacunación se rea-
lizará en el polideportivo del propio centro, cedido desde marzo por la universidad para
su uso como punto de vacunación poblacional. En el caso de la Universidad de Nava-
rra, ésta aporta la logística en la administración de las dosis. […]”
Respecto a la base de legitimación de este tratamiento la parte reclamada ma-
nifiesta cumplimiento de una obligación legal en materia de prevención de riesgos la-
borales en atención a lo dispuesto por la Ley 31/1995 y el Real Decreto 1791/2010,
por lo que en este sentido esta parte entiende que se encuentra bajo el paraguas de lo
establecido por el artículo 6.1. del RGPD. Y todo ello sin obviar, que no deja de ser
una acción voluntaria por parte del alumno.
Efectivamente, dada la gravedad de pandemia y la facilidad de propagación del
presente coronavirus puede considerarse que se esté ante obligaciones que afectan a
la Institución, estudiantes, trabajadores y a la comunidad universitaria en general. En
virtud de lo establecido en el artículo 7.1 letra n del el Real Decreto 1791/2010, el
alumno tiene derecho “a recibir formación sobre prevención de riesgos y a disponer de
los medios que garanticen su salud y seguridad en el desarrollo de sus actividades de
aprendizaje”.
Respecto a los detalles de este tratamiento de datos, la parte reclamada adjun-
ta como documento nº 3 el formulario que los alumnos debían cumplimentar en el caso
de que decidieran reflejar su estado de vacunación.
Ya en el primer párrafo se comprueba que el cumplimiento del formulario es vo-
luntario indicándose: “La Universidad de Navarra está colaborando con las autorida-
des sanitarias en la Campaña de Vacunación frente al Covid-1 9, facilitando a todos
aquellos alumnos y alumnas que lo deseen y no se hayan vacunado totalmente o no
hayan recibido la pauta completa […]”, para a continuación aclarar que el cumplimiento
del formulario implica el consentimiento del estudiante para el tratamiento de sus datos
con unas determinadas finalidades que enumeran a continuación:
“a) Poder ofrecer una mejor prestación de sus servicios en un entorno lo más
seguro posible en relación con la pandemia Covid19.
b) Para poder establecer y diseñar medidas relativas eficaces para evitar la
propagación del virus entre la comunidad universitaria.
c) Para colaborar con las autoridades sanitarias competentes en las campañas
de prevención y vacunación frente al virus.”
En este sentido se comprueba que el primer campo del formulario es la solici-
tud de consentimiento. En este campo, existe la opción de acceder a las cláusulas in-
formativas en las que se informa al estudiante de que la información proporcionada
únicamente será tratada por la Universidad de Navarra con la finalidad de minimizar el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/12
riesgo de contagio y propagación del Covid-19, su base de legitimación, el periodo de
conservación (el estrictamente necesario para el cumplimiento de las finalidades men-
cionadas, así como para llevar a cabo las acciones adicionales que corresponda en
materia de prevención), que la información facilitada no será comunicada a terceros a
menos que las autoridades sanitarias así lo requieran, los derechos del interesado y el
procedimiento a seguir para ejercerlos en el caso de que considerase que estos han
sido vulnerados. Finalmente, en estas cláusulas informativas consta “Al pulsar en "Si",
da su consentimiento expreso a la Universidad de Navarra para que trate sus datos
personales, incluidos datos de salud, con la finalidad de colaborar en la vigilancia de la
salud de la comunidad universitaria”.
Dentro del plan de actuación contra la propagación de la covid-19, la parte re-
clamada ha desarrollado unas medidas de contingencia que quedan recogidas en el
documento nº 4, “Plan de contingencia COVID-19”, en el que se especifican las si-
guientes:
· Medidas de prevención personal: uso de mascarillas, limitación de contactos, higiene,
etc.
· Gestión de casos: protocolo de actuación en caso de aparición de contagios.
· Personal vulnerable: comunicación al servicio Mancomunado de Prevención de Ries-
gos Laborales y posibles actuaciones.
· Ventilación de espacios: aulas, despachos, salas de reuniones, oficinas de atención al
público, cafetería, etc.
· Limpieza y desinfección
· Y otros aspectos a observar como las medidas en el transporte, comunicación e infor-
mación y señalización.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento
(UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) con-
fiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garan-
tía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver
estas actuaciones de investigación la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones re-
glamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Licitud del tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/12
El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo si-
guiente:
"1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos perso-
nales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el in-
teresado es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal apli-
cable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o
de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable del tra-
tamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perse-
guidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el in-
teresado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al trata-
miento realizado por las autoridades públicas en el ejercicio de sus funciones.
2. Los Estados miembros podrán mantener o introducir disposiciones más es-
pecíficas a fin de adaptar la aplicación de las normas del presente Reglamento con
respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de mane-
ra más precisa requisitos específicos de tratamiento y otras medidas que garanticen
un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tra-
tamiento a tenor del capítulo IX.
3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser
establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del trata-
miento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica
o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria
para el cumplimiento de una misión realizada en interés público o en el ejercicio de po-
deres públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá
contener disposiciones específicas para adaptar la aplicación de normas del presente
Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento
por parte del responsable; los tipos de datos objeto de tratamiento; los interesados
afectados; las entidades a las que se pueden comunicar datos personales y los fines
de tal comunicación; la limitación de la finalidad; los plazos de conservación de los da-
tos, así como las operaciones y los procedimientos del tratamiento, incluidas las medi-
das para garantizar un tratamiento lícito y equitativo, como las relativas a otras situa-
ciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de
los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/12
legítimo perseguido.
4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogie-
ron los datos personales no esté basado en el consentimiento del interesado o en el
Derecho de la Unión o de los Estados miembros que constituya una medida necesaria
y proporcional en una sociedad democrática para salvaguardar los objetivos indicados
en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar
si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicial-
mente los datos personales, tendrá en cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos
personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por
lo que respecta a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten catego-
rías especiales de datos personales, de conformidad con el artículo 9, o datos perso-
nales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior pre-
visto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seu-
donimización."
III
Tratamiento de categorías especiales de datos personales
El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de
datos personales, establece lo siguiente:
"1. Quedan prohibidos el tratamiento de datos personales que revelen el origen
étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afi-
liación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a iden-
tificar de manera unívoca a una persona física, datos relativos a la salud o datos relati-
vos a la vida sexual o la orientación sexual de una persona física.
2. El apartado 1 no será de aplicación cuando concurra una de las circunstan-
cias siguientes:
a) el interesado dio su consentimiento explícito para el tratamiento de dichos
datos personales con uno o más de los fines especificados, excepto cuando el Dere-
cho de la Unión o de los Estados miembros establezca que la prohibición mencionada
en el apartado 1 no puede ser levantada por el interesado;
b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejerci-
cio de derechos específicos del responsable del tratamiento o del interesado en el ám-
bito del Derecho laboral y de la seguridad y protección social, en la medida en que así
lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo
con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas
del respeto de los derechos fundamentales y de los intereses del interesado;
c) el tratamiento es necesario para proteger intereses vitales del interesado o
de otra persona física, en el supuesto de que el interesado no esté capacitado, física o
jurídicamente, para dar su consentimiento;
d) el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con
las debidas garantías, por una fundación, una asociación o cualquier otro organismo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/12
sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre
que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de ta-
les organismos o a personas que mantengan contactos regulares con ellos en relación
con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin
el consentimiento de los interesados;
e) el tratamiento se refiere a datos personales que el interesado ha hecho ma-
nifiestamente públicos;
f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de
reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
g) el tratamiento es necesario por razones de un interés público esencial, sobre
la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcio-
nal al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos
y establecer medidas adecuadas y específicas para proteger los intereses y derechos
fundamentales del interesado;
h) el tratamiento es necesario para fines de medicina preventiva o laboral, eva-
luación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asis-
tencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de
asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados
miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las
condiciones y garantías contempladas en el apartado 3;
i) el tratamiento es necesario por razones de interés público en el ámbito de la
salud pública, como la protección frente a amenazas transfronterizas graves para la
salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia
sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de
la Unión o de los Estados miembros que establezca medidas adecuadas y específicas
para proteger los derechos y libertades del interesado, en particular el secreto profe-
sional;
j) el tratamiento es necesario con fines de archivo en interés público, fines de
investigación científica o histórica o fines estadísticos, de conformidad con el artículo
89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros,
que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a
la protección de datos y establecer medidas adecuadas y específicas para proteger
los intereses y derechos fundamentales del interesado.
3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fi-
nes citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un pro-
fesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de
acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas es-
tablecidas por los organismos nacionales competentes, o por cualquier otra persona
sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de
los Estados miembros o de las normas establecidas por los organismos nacionales
competentes.
4. Los Estados miembros podrán mantener o introducir condiciones adiciona-
les, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos bio-
métricos o datos relativos a la salud."
IV
Principios relativos al tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/12
La letra c) del artículo 5.1 del RGPD propugna:
"1. Los datos personales serán:
(…)
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines
para los que son tratados («minimización de datos»);"
V
Tratamiento del que se responsabiliza a la parte reclamada y naturaleza de los datos
tratados
El RGPD, artículo 4.15, define los “datos relativos a la salud” como los “datos
personales relativos a la salud física o mental de una persona física, incluida la presta-
ción de servicios de atención sanitaria, que revelen información sobre su estado de
salud;”.
El considerando 35 del RGPD se refiere a ellos en los siguientes términos:
<<Entre los datos personales relativos a la salud se deben incluir todos los da-
tos relativos al estado de salud del interesado que dan información sobre su estado de
salud física o mental pasado, presente o futuro. Se incluye la información sobre la per-
sona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o
con ocasión de la prestación de tal asistencia, de conformidad con la Directiva
2011/24/UE del Parlamento Europeo y del Consejo (1); todo número, símbolo o dato
asignado a una persona física que la identifique de manera unívoca a efectos sanita-
rios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una
sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y
cualquier información relativa, a título de ejemplo, a una enfermedad, una discapaci-
dad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el
estado fisiológico o biomédico del interesado, independientemente de su fuente, por
ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o
una prueba diagnóstica in vitro.>>
En definitiva, el considerando 35 del RGPD determina que “la información
sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia
sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la
Directiva 2011/24/UE del Parlamento Europeo y del Consejo” está incluida en la
categoría especial de datos de salud.
A la luz de las disposiciones que se citan, la vacunación de una persona contra
el Covid-19 implica la prestación de un servicio de asistencia sanitaria.
Por consiguiente, la información acerca de si una persona física identificada ha
recibido o no la vacuna del Covid-19 tiene la naturaleza de dato personal relativo a la
salud, encuadrado en la categoría de datos especiales o sensibles regulados en el
artículo 9 del RGPD.
La denuncia se concreta en el acceso a la historia clínica de os estudiantes por
parte de la Universidad denunciada y la cesión de datos de vacunación a terceros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/12
Corresponde analizar, seguidamente, si el tratamiento que hizo la Universidad
de Navarra de los datos de salud de los alumnos es acorde con las disposiciones del
RGPD.
Todo tratamiento de datos debe respetar la normativa reguladora de este
derecho fundamental, especialmente los principios que presiden el tratamiento,
establecidos en el artículo 5.1 del Reglamento (UE) 679/2016, entre ellos (apartado a)
el de licitud.
Como ya se ha indicado, el RGPD, artículo 9.1., prohíbe, con carácter general,
el tratamiento de los “datos especiales”, entre los que menciona los relativos a la
salud. No obstante, el apartado 2 del precepto introduce diez excepciones; diez
supuestos en los que la prohibición de tratamiento puede levantarse si concurre una
de ellas. Estas circunstancias que exceptúan la regla general de prohibición están
conectadas con “alguna” de las bases jurídicas que conforme al artículo 6.1 del RGPD
legitiman el tratamiento de los datos.
Es necesario hacer referencia a la posibilidad de que, en el tratamiento de
datos que constituye el objeto de la reclamación, concurriera alguna de las
excepciones que alzan la prohibición general prevista en el artículo 9.1 del RGPD.
El artículo 9.2 del RGPD refiere varias causas que levantarían la prohibición:
“a) el interesado dio su consentimiento explícito para el tratamiento de dichos
datos personales con uno o más de los fines especificados, excepto cuando el
Derecho de la Unión o de los Estados miembros establezca que la prohibición
mencionada en el apartado 1 no puede ser levantada por el interesado;”.
“g) el tratamiento es necesario por razones de un interés público esencial, sobre
la base del Derecho de la Unión o de los Estados miembros, que debe ser
proporcional al objetivo perseguido, respetar en lo esencial el derecho a la
protección de datos y establecer medidas adecuadas y específicas para proteger
los intereses y derechos fundamentales del interesado;”
“h) el tratamiento es necesario para fines de medicina preventiva o laboral,
evaluación de la capacidad laboral del trabajador, diagnóstico médico,
prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los
sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho
de la Unión o de los Estados miembros o en virtud de un contrato con un
profesional sanitario y sin perjuicio de las condiciones y garantías contempladas
en el apartado 3;”
“i) el tratamiento es necesario por razones de interés público en el ámbito de la
salud pública, como la protección frente a amenazas transfronterizas graves
para la salud, o para garantizar elevados niveles de calidad y de seguridad de la
asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base
del Derecho de la Unión o de los Estados miembros que establezca medidas
adecuadas y específicas para proteger los derechos y libertades del interesado,
en particular el secreto profesional,”.
El tratamiento realizado se enmarca en una campaña de colaboración de la
Universidad con las autoridades sanitarias en la campaña de vacunación frente al virus
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/12
Covid. La Consejería de Salud del Gobierno de Navarra realiza una encomienda a las
Universidades de esa Comunidad Foral para efectuar esa colaboración y que se
pudiesen vacunar los alumnos, que voluntariamente quisiesen hacerlo, en el campus o
en algún otro centro educativo. La noticia fue publicada en la prensa.
El documento objeto de reclamación en el que se señalaba que se coaccionaba
a los alumnos y se accedía y cedían datos de salud, es la información genérica que se
facilitaba de esa campaña de colaboración.
La labor de las Universidades era facilitar al Departamento de Salud de
Navarra, Osasunbidea, los listados de las personas que iban a recibir la vacuna para
que se registrase en las bases de datos sanitarias.
Si el alumno voluntariamente quería rellenar el formulario sobre la vacunación,
era informado de manera completa sobre el tratamiento de esos datos, añadiendo la
base legitimadora del mismo: la obligación legal de cuidar la salud de los alumnos que
se recoge en el artículo 7.1.n) del Real Decreto 1791/2010 (la vacunación es un
apartado más del Plan de contingencias Covid-19 para el Curso 2021-2022, elaborado
por el Servicio Mancomunado de Prevención de Riesgos Laborales de la Universidad
de Navarra), así como el consentimiento libre de los alumnos que quisiesen vacunarse
en los lugares señalados al efecto por la Universidad.
VI
Conclusión
No se ha podido acreditar que se hayan producido los hechos denunciados:
“coacción para que faciliten información sobre el estado de vacunación” u “obvia ce-
sión de datos a terceros con finalidad de vacunación”, o el caso de “acceso a la histo-
ria clínica de los alumnos”, señalada por la parte denunciante.
La vacunación en la Universidad denunciada se realiza bajo el acuerdo con el
gobierno de Navarra para vacunar a sus estudiantes de otras comunidades y países.
A partir del formulario de la toma de datos que la cesión de éstos es totalmente
voluntaria e informada, solicitando además el consentimiento del afectado y no cedién-
dose estos datos a terceros excepto a las autoridades sanitarias.
Por otra parte, conforme a la documentación obrante en el expediente, no
consta ni se encuentra razón alguna para el acceso a la historia clínica de los estu-
diantes por parte de la Universidad denunciada.
Finalmente, se verifica que la facilidad de vacunación en la Universidad denun-
ciada se ve acompañada de otras medidas de contingencia contra los efectos adver-
sos de la pandemia provocados por el virus SARS-CoV-2 con objeto de hacer de la
Universidad un espacio seguro.
Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han en-
contrado evidencias que acrediten la existencia de infracción en el ámbito competen-
cial de la Agencia Española de Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/12
Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española
de Protección de Datos:
SE ACUERDA:
PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones.
SEGUNDO: NOTIFICAR la presente resolución a LIBERUM ASOCIACIÓN y UNIVER-
SIDAD DE NAVARRA.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presen-
te Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptua-
do por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Adminis-
trativo Común de las Administraciones Públicas, y de conformidad con lo establecido
en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados po-
drán interponer, potestativamente, recurso de reposición ante la Directora de la Agen-
cia Española de Protección de Datos en el plazo de un mes a contar desde el día si-
guiente a la notificación de esta resolución o directamente recurso contencioso admi-
nistrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con
arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional
cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Ad-
ministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación
de este acto, según lo previsto en el artículo 46.1 de la referida Ley.
940-110422
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es