1/96
Expediente N.º: EXP202201608
Contenido
ANTECEDENTES.......................................................................................................... 2
PRIMERO: Presentación de la reclamación............................................................... 2
SEGUNDO: Evidencias obtenidas para análisis de admisibilidad.............................. 3
TERCERO: Traslado de la reclamación..................................................................... 3
CUARTO: Admisión a trámite de 29/04/2022........................................................... 13
QUINTO: Consulta a Informe mercantil de la empresa reclamada........................... 13
SEXTO: Antecedentes registrados de la reclamada en la aplicación de gestión de
expedientes de la AEPD SIGRID.............................................................................. 13
SÉPTIMO: Acuerdo de inicio de procedimiento sancionador, de 5/06/2023.............14
OCTAVO: Alegaciones de la reclamada de 27/06/2023............................................ 14
NOVENO: Primera ampliación de alegaciones, de fecha 11/10/2023...................... 26
DÉCIMO: Segunda ampliación de alegaciones, de fecha 21/11/2023...................... 30
DÉCIMOPRIMERO: Emisión de propuesta de resolución de 12/03/2024................32
DÉCIMOSEGUNDO: Alegaciones a la propuesta de resolución presentadas el
8/04/2024................................................................................................................. 32
HECHOS PROBADOS................................................................................................ 38
FUNDAMENTOS DE DERECHO................................................................................. 48
I Competencia....................................................................................................... 48
II Cuestiones preliminares.................................................................................... 49
III Sobre el tratamiento de datos de salud............................................................. 52
IV Sobre las alegaciones a la propuesta de resolución......................................... 59
V Obligación incumplida del art 9 RGPD.............................................................. 63
VI Obligación incumplida del art. 6.1 RGPD......................................................... 70
VII Obligación incumplida del art 14 del RGPD..................................................... 78
VIII Tipificación y calificación de las infracciones.................................................. 84
IX Determinación de la sanción............................................................................ 85
RESUELVE:................................................................................................................. 92
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/96
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a
los siguientes
ANTECEDENTES
PRIMERO: Presentación de la reclamación
A.A.A., (en adelante, la parte reclamante) con fecha 29/01/2022, interpuso reclamación
ante la Agencia Española de Protección de Datos. La reclamación se dirige contra GSMA
LIMITED con NIF N4004237F (en adelante, la parte reclamada). Los motivos en que basa
la reclamación son los siguientes:
El reclamante manifiesta que los trabajadores de las empresas que han de realizar
trabajos en el recinto de la FIRA de Barcelona, durante la celebración del MOBILE
WORLD CONGRESS (MWC 2022), han recibido instrucciones de la empresa
organizadora, GSMA, y FIRA DE BARCELONA, debiendo inscribirse en una aplicación
informática para poder acceder al mismo. En tal sentido, la entidad reclamada, remitió el
20/01/2022, un correo electrónico a los proveedores de MWC 2022, para informarles que
sus trabajadores deberán subir al sistema su pasaporte COVID o equivalentes.
El reclamante indica, que ni la reclamada, ni FIRA se encuentran legitimadas para
solicitar a terceros información sanitaria sobre su vacunación o estado de salud, que en
caso de no aportarse implicaría no poder entrar y, por tanto, no poder desarrollar la
prestación laboral.
Junto a la reclamación, aporta dos copias de correo electrónico:
1) Correo electrónico de 20/01/2022, procedente de una persona con dominio de FIRA de
Barcelona (FIRA en lo sucesivo), dirigido a proveedores, asunto: ”instrucciones para
registro de proveedores FIRA de Barcelona para MWC 2022”,”mediante este e mail
electrónico os queremos informar del sistema de acreditaciones para el MWC22 ya está
activo para todos los proveedores de FIRA BARCELONA”, ”con la misma plataforma de
pase digital que el año pasado”, por tanto:
-”Habrá un sistema web donde a cada proveedor se le creará una cuenta por FIRA,
donde deberá auto gestionarse sus pases”, para ello, se deberán enviar los datos de la
persona que gestionará la cuenta- a una dirección de correo electrónico de FIRA-.
Esa persona, será el contacto en los “pases de todos los empleados dados de alta en el
sistema a nombre de su empresa”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/96
Hay un apartado referido a “pasaporte COVID y test antígenos”, en el que se indica que:
“cuando inicien sesión por primera vez vuestros trabajadores, tendrán que crear una
contraseña, y luego subir uno de los siguientes documentos para su validación:
-Certificado de vacunación COVID 19
-Certificado de recuperación de COVID 19
-Prueba negativa de test valido de COVID 19, realizado en las últimas 72 horas en
cualquiera de los periodos (montaje, celebración & desmontaje).
2) Correo electrónico de 21/01/2022, remitido por una persona desde dirección con
dominio”firabarcelona.com”, dirigido a un equipo con el mismo dominio, asunto:” acceso
GV anticipación MWC”. Informa sobre accesos por puerta 4, al recinto de Gran Vía, entre
el 23/01 y el 7/02, de distinto colectivo de personas, visitas y vehículos, entre los que se
incluyen empleados de FIRA, colaboradores y portadores de accesos permanentes y
anuales a los recintos de FIRA. Refiere un “control sanitario para acceder a stands de
MWC en construcción”, que identifica, ”presentando pasaporte COVID o en su defecto,
una prueba COVID negativa avalada por un laboratorio autorizado”.
“A partir del 8 de febrero, se avanzan los perímetros de seguridad y se adoptan para todo
el recinto de Gran Vía las medidas sanitarias y de acceso a MWC establecidas por
GSMA. Que son similares a las de la edición anterior, se ha de subir a una plataforma
digital documentación para obtener el pase de acceso al evento en todos sus períodos
hasta el 8 de marzo. Recibiremos información detallada al respecto de cómo gestionar el
pase de MWC.”
SEGUNDO: Evidencias obtenidas para análisis de admisibilidad.
Por la AEPD, se recaban las siguientes evidencias:
-POLÍTICA DE PRIVACIDAD GSMA/MWC BARCELONA 2022-Última actualización
29/04/2021, que según indica, se aplica al tratamiento de datos personales de los
participantes en el Congreso.
-Política de privacidad de FIRA DE BARCELONA, y sus empresas participadas,
obtenidas en su página web. No se menciona a los empleados de proveedores.
TERCERO: Traslado de la reclamación.
De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de
Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio
traslado de dicha reclamación a GSMC EVENT PROJECT MANAGEMENT SL -
B64828973, filial de la reclamada, para que procediese a su análisis e informase a esta
Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los
requisitos previstos en la normativa de protección de datos, respecto a la reclamación en
la que se manifiesta que los trabajadores de las empresas que han de realizar trabajos
durante la celebración del Mobile World Congress (MWC) 2022 en el recinto de la Fira de
Barcelona deben obtener unas acreditaciones para poder acceder al mismo,
proporcionando datos de salud (COVID 19), dando noticia de los correos electrónicos del
antecedente primero.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/96
El traslado que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), no fue recogido por el responsable dentro del plazo de puesta a
disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la
LPACAP, en fecha 5/03/2022.
Aunque la notificación se practicó válidamente por medios electrónicos, dándose por
efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título
informativo se envió una copia por correo postal, que fue notificada fehacientemente en
fecha 21/03/2022. En dicha notificación, se le recordaba su obligación de relacionarse
electrónicamente con la Administración, y se le informaba de los medios de acceso a
dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por
medios electrónicos.
- Con fecha 25/04/2022, GSMC EVENT PROJECT MANAGEMENT, S.L responde a las
cuestiones lo siguiente:
1.“Nombre y apellidos o la denominación social del responsable del tratamiento de los
datos de salud relativos al pasaporte COVID y test de antígenos que se solicitan en el
marco de la Mobile World Congress Barcelona 2022, así como el NIF y dirección de
contacto de dicho responsable.”
Responde que “El responsable del tratamiento de los datos de carácter personal relativos
a los asistentes al MWC22, incluyendo los datos de salud que, de manera excepcional,
por razón de la COVID19, se solicitaron durante el MWC22, es la entidad: GSMA Ltd.
Armour Yards, 165 Ottley Drive, Suite 203 Atlanta, GA, 30324 USA EIN (Employer
Identification Number): 20-4991061. Proporciona también su correo electrónico de
contacto.
2.“Si el responsable se encuentra establecido fuera del EEE, dirección postal de su
representante en la Unión Europea.”
Responde que:” GSMA Ltd. (en adelante,” GSMA” u “Organización”) se encuentra
establecida en Estados Unidos. GSMC es una sociedad española, 100% participada por
GSMA, creada específicamente para prestar servicios relacionados con la gestión de los
eventos de GSMA, incluido el MWC de Barcelona (por ejemplo, servicios de traducción,
estancias, etc.). Los tratamientos de datos llevados a cabo por GSMA están
inextricablemente vinculados a los tratamientos llevados a cabo por GSMC. Por ello,
GSMA trata datos personales en el contexto de actividades de un establecimiento en la
Unión Europea por lo que se encuentra sujeta al Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo de 27/04/2016, relativo a la protección de las
personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante,”
Reglamento General de Protección de Datos” o ”RGPD”) bajo el Artículo 3.1 del mismo y
por ello, no se requiere el establecimiento de un representante en la Unión Europea.”
3.”Indicar si existe alguna relación de responsable o corresponsable y encargado del
tratamiento entre GSMA LTD, GSMA Event Project Management, S.L. y la FIRA
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/96
INTERNACIONAL DE BARCELONA, en el marco de la Mobile World Congress
Barcelona 2022.”
Responde:
GSMA Ltd. tiene la condición de responsable de tratamiento de los datos de los
asistentes al MWC22. GSMC no ostenta condición de responsable o encargado de
tratamiento en relación con los datos que son objeto de la presente reclamación.
FIRA ostenta frente a GSMA la condición de contratista principal y, en muchos casos,
exclusivo, de muchos de los servicios y suministros que deben prestarse en el marco del
MWC. En consecuencia, en el marco de esta relación “cliente - proveedor”, desde el
punto de vista de la normativa en materia de protección de datos de carácter personal,
FIRA actúa como encargada de tratamiento en nombre y por cuenta de GSMA Ltd., que
actúa como responsable, a cuyo efecto ambas partes han suscrito el correspondiente
contrato de encargo de tratamiento de datos al amparo de lo previsto en el artículo 28 del
RGPD.”
“Es preciso introducir a un cuarto agente, no mencionado en la reclamación, cuya
intervención en la edición del MWC22 ha sido de vital importancia para garantizar la
salud y la seguridad de todas aquellas personas involucradas en el MWC tras la
aparición de la COVID-19 (en adelante,”COVID-19” o “la pandemia”). Nos referimos a la
empresa QUIRONPREVENCIÓN (QP en lo sucesivo). QP, el proveedor de servicios
médicos de GSMA para el MWC, tiene la consideración de subencargado de tratamiento
de datos de carácter personal en virtud del contrato de encargo de tratamiento de datos
suscrito con FIRA. La razón por la que GSMA se asoció con un proveedor de servicios
médicos líder en su sector respondía a la necesidad de garantizar que un evento tan
importante, singular y complejo desde un punto de vista organizativo como es el MWC se
desarrollara con las máximas medidas de seguridad y teniendo en cuenta que dicha
empresa era la que estaba aplicando los debidos controles sanitarios durante la
pandemia en el mismísimo aeropuerto de Barcelona, amén de otras ferias anteriores,
como FITUR. La decisión de contar con QP fue consensuada, con el propio
Departamento de Salud Pública del Ministerio de Sanidad español, con quien GSMA
mantuvo múltiples reuniones de trabajo y coordinación en el marco de la preparación del
MWC22. De hecho, QUIRONPREVENCIÓN era una entidad homologada por el
Departamento de Salud Pública a efectos de poder reportar eventuales casos positivos
acontecidos durante el MWC.”
4. “La base jurídica que habilita el tratamiento de los citados datos de salud y
circunstancia que levanta la prohibición para tratar categorías especiales de datos, según
el artículo 9 del RGPD.”
Responde que van a realizar un análisis de cómo estaba la situación en fechas
anteriores.
En fecha 1/12/2021, GSMA presentó oficialmente su PLAN DE SALUD Y SEGURIDAD
PARA EL MWC22 DE BARCELONA (el “Plan"). Pueden consultarse las notas de prensa
en las direcciones URL ***URL.1 y ***URL.2.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/96
Haciendo clic en el primero, lleva a otra página de GSMA de 1/12/2021, que es una
noticia que informa sobre el plan de seguridad para el evento de 2022, en el que la salud
y la seguridad será la prioridad, mencionando a, entre otros, los asistentes o visitantes,
los trabajadores en el recinto, para todos los cuales “deberán certificar su estado de
vacunación, proporcionar prueba negativa o una certificación de recuperación de COVID
19, para obtener acceso al recinto, al igual que en la edición 2021, la prueba de
cumplimiento de los protocolos se almacenará y mostrará en la aplicación oficial del
evento”.
También se informa que será QUIRONPREVENCIÓN el socio médico que validará estos
documentos.
Manifiesta la reclamada que el PLAN DE SALUD Y SEGURIDAD presentado es una
actualización del plan presentado en marzo de 2021, el cual fue elaborado en
coordinación con las autoridades sanitarias catalanas responsables de la normativa que
regulaba el MWC21, entre ellas el Departamento de Empresa y Conocimiento de la
Generalitat de Catalunya, y la COMISIÓN TÉCNICA DEL PROCICAT que lo aprobó
-Comité adscrito al Departamento de Interior de la Generalitat de Catalunya que gestiona
la gestión de la pandemia en Cataluña en el seno del Plan Territorial de Protección Civil
del Departamento de Interior de la Generalitat de Catalunya.
• El Plan cumplía, además, con las directrices y recomendaciones para los organizadores
de eventos contempladas en el PLAN SECTORIAL DE FERIAS Y CONGRESOS.
• El Plan involucra a todos los participantes en el MWC, pues fue diseñado con un
enfoque por niveles que permitía crear un entorno seguro para personal, trabajadores,
expositores, visitantes, proveedores, socios y comunidad local. Estos niveles
contemplaban pruebas frecuentes, rastreo de contactos, entornos sin contacto,
renovación del catering, control de la ocupación, mejoras en la infraestructura de las
instalaciones, personal médico y compromisos personales como mantener la distancia
social, así como la recogida de datos COVID por GSMA, en particular, datos relativos al
certificado de vacunación; certificado de recuperación o resultado negativo de prueba
diagnóstica. Además, el Plan se basaba en el PROTOCOLO DE SEGURIDAD Y
PREVENCIÓN CONTRA EL COVID-19 que en aquel momento estaba aplicando FIRA.
• Durante los meses previos a la celebración del MWC22, GSMA debía tener en cuenta
con una periodicidad casi semanal, las distintas resoluciones que emanaban no sólo del
Departament de Salut de la Generalitat de Catalunya sino también del propio Ministerio
de Sanidad español, con quienes mantenía reuniones de coordinación de forma
periódica, incluyendo a las Fuerzas y Cuerpos de Seguridad.
Sobre la base jurídica que habilita al tratamiento de datos, manifiesta la reclamada que el
artículo 6.1.c) del RGPD, “necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento”.
En ejecución del Plan, ”GSMA debe, por lo tanto, cumplir con el mandato de las
autoridades catalanas en relación con la recogida de datos para minimizar el riesgo de
contagio de los asistentes al evento.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/96
“En virtud de la Ley de Salud Pública 18/2009, de la Comunidad Autónoma de Cataluña,
las autoridades sanitarias pueden interferir en actividades privadas a los efectos de
proteger la salud de los ciudadanos y prevenir enfermedades. GSMA considera el Plan
como tal intervención acordada y aprobada por las autoridades catalanas como un
mandato para implementar las medidas citadas anteriormente, incluida la recogida de
Datos COVID.”
“En el supuesto que la base legal indicada anteriormente no aplicara, GSMA se basaría
en su obligación de proteger el interés vital de los asistentes al evento (incluidos los
trabajadores y proveedores) artículo 6.1 d) RGPD, protección del interés vital de los
asistentes como base legal para el tratamiento de sus datos”. El considerando 46 del
RGPD establece la posibilidad de tratar los datos en base a esta base legal en el
contexto de la monitorización de pandemias, entendiéndolo como “su obligación de
proteger el interés vital de los asistentes al evento-incluidos los trabajadores”.
-Artículo 9.2 g) del RGPD, interés público esencial.
Responde, que: ”el objetivo de la Organización es la creación, en coordinación con las
autoridades sanitarias, de un entorno seguro para personal, trabajadores, expositores,
visitantes, proveedores, socios y comunidad local teniendo en cuenta las características
del evento y la situación de pandemia. La misma legislación citada en los párrafos
anteriores aplicaría para justificar el tratamiento de datos de salud en virtud del artículo
9.2 g) del RGPD relativo a la protección del interés público esencial.
5.”La finalidad del tratamiento”
Responde que la finalidad del tratamiento de los datos de salud por parte de
QUIRONPREVENCIÓN, se limitaba a comprobar “que la información contenida en los
certificados sanitarios cumplía o no con los requerimientos de acceso al evento
establecidos por parte de la Organización, aunque la verdadera finalidad del tratamiento
de estos datos, desde la óptica de GSMA, no era otra que proteger a los asistentes al
MWC22 y a sus trabajadores, garantizando un entorno seguro y saludable para todos
ellos, y, en definitiva, evitar la propagación de la pandemia como amenaza transfronteriza
grave para la salud pública del modo requerido conforme al Plan consensuado y
aprobado por las autoridades sanitarias.“
6.“Las garantías adecuadas implementadas para la protección de los derechos y
libertades de las personas, incluidas las medidas de seguridad adoptadas para proteger
la confidencialidad de los datos personales.”
Respondió que “se adjunta certificado relativo a las medidas de seguridad aplicadas por
QUIRONPREVENCIÓN como ANEXO NÚMERO 2”
Consiste en un escrito de QP, firmado el 20/04/2022 por el Comité de Protección de
Datos, que certifica el cumplimiento de la normativa de Protección de Datos en todos los
tratamientos de datos que realizan para el desarrollo del objeto social y adopta las
medidas jurídicas, técnicas y organizativas necesarias para garantizar la seguridad de los
mencionados tratamientos. No se alude al concreto tratamiento encargado, ni se
relaciona ningún interviniente del asunto.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/96
Añade la reclamada, que:” En cuanto al tratamiento de los Datos COVID, ni GSMA ni
FIRA han tenido acceso a estos datos. Estos eran recogidos directamente por
QUIRONPREVENCIÓN que los analizaba y confirmaba si el individuo era 'APTO' o 'NO
APTO' a los efectos de acceder al evento.”
7.“Las categorías de interesados (trabajadores, clientes, usuarios, etc.) y la información
facilitada sobre el tratamiento de estos datos de salud.”
Responde que:” Las categorías de interesados son todas aquellas personas que, por
cualquier razón, debían acceder al perímetro del recinto del evento, es decir, los
asistentes, los expositores y los proveedores (contratistas y subcontratistas). En cuanto a
la información facilitada sobre el tratamiento de estos datos, y en relación con el
tratamiento de datos objeto de la presente reclamación, la misma es facilitada por el
proveedor/empleador directamente al no tener GSMA contacto directo con los
trabajadores. El contrato entre GSMA y el proveedor requiere al proveedor el
cumplimiento de las leyes aplicables en materia de protección de datos, incluido el
cumplimiento con los requisitos de transparencia y legalidad de las mismas a los efectos
de ceder los datos de sus trabajadores a GSMA o sus encargados de tratamiento,
incluyendo la provisión de la política de privacidad de GSMA (la especifica política de
privacidad se facilita al proveedor) a sus trabajadores cuyos datos se facilitan a GSMA.
La política de privacidad cumple con los requisitos establecidos en el RGPD e incluye
información relativa al tratamiento de datos de salud de los asistentes, incluido el
tratamiento de datos facilitados por terceros, haciendo referencia específica al caso que
nos ocupa, en particular, a la circunstancia en las que el proveedor facilite los datos del
trabajador a GSMA.”
8.“En su caso, orden que contempla la medida sanitaria para la contención y control de la
epidemia ocasionada por el virus del SARS CoV-2, así como justificación de la necesidad
y proporcionalidad de la aplicación de esta medida al evento.”
Respondió que “El mandato lo ha recibido GSMA a través del Plan, el cual fue
desarrollado en colaboración con (y aprobado por) las autoridades catalanas”, tal y como
es explicado con anterioridad. Las autoridades competentes consideraron en su momento
que las medidas aprobadas en el Plan eran las apropiadas para gestionar la pandemia en
el momento en el que se celebró el evento. Asimismo, la justificación de la necesidad y
proporcionalidad de la aplicación de estos requisitos de acceso al evento tiene en cuenta
tres motivos, en gran medida relacionados con la propia naturaleza del MWC:
a. El primero de ellos es el carácter internacional del Congreso. En la edición del MWC22
estuvieron representados un total de 183 países de los 195 que hay en todo el mundo.
Debido a la crisis sanitaria provocada por la COVID-19 y a las restricciones temporales
de viajes no imprescindibles desde terceros países – algunos de riesgo o incluso muy alto
riesgo–, GSMA tuvo que adaptar su Plan de Salud y Seguridad del evento a las
previsiones de la Orden INT/657/2020, de 17/07 por la que se modifican los criterios para
la aplicación de una restricción temporal de viajes no imprescindibles desde terceros
países a la Unión Europea y países asociados Schengen por razones de orden público y
salud pública con motivo de la crisis sanitaria ocasionada por la COVID-19, cuyos
criterios se iban modificando mensualmente para responder a un cambio de
circunstancias o a nuevas recomendaciones en el ámbito de la UE, así como a la
Resolución de 4 de junio. (se desconoce a que resolución se refiere la cita).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/96
b. El segundo de ellos es el carácter multitudinario del Congreso. La edición del MWC22
acogió a un total de 61.000 personas durante los cuatro días del evento, lo que supone
un volumen altísimo de asistentes que, en un contexto de pandemia y teniendo en cuenta
la elevada concentración de individuos en un mismo espacio, exige adoptar medidas que
garanticen que todos los asistentes se hallan en posesión de las debidas credenciales de
salud y se reduzcan al máximo las probabilidades de contagio y/o propagación del virus.
c. El tercero es por razones de salud pública íntimamente relacionadas con el contexto y
la evolución de la pandemia durante las fechas previas a la celebración del MWC, y los
indicadores de mortalidad y contagio, en los meses previos a la celebración del MWC,
”eran de todo menos esperanzadores y justificaban la adopción de tales medidas, que
refrendamos.”
9.“Informe si únicamente se solicita la exhibición del certificado o prueba negativa de un
test de antígenos, o si se registra o conserva la información contenida en ellos, y en este
caso justificación de la necesidad de su registro y ubicación de los servidores en los que
se almacena.”
Respondió que:” Tal y como se ha indicado, los asistentes al MWC22 envían (“cargan”)
sus certificados de salud directamente a la plataforma de QUIRONPREVENCIÓN, donde
quedan registrados y almacenados en sus propios servidores, ubicados en territorio
español, hasta el último día del desmontaje del evento, momento en el que se destruyen.”
La justificación del registro y conservación de estos datos es muy sencilla.
QUIRONPREVENCIÓN necesita acceder a estos datos con antelación y de forma remota
(ya que se debe acreditar a miles de asistentes, incluyendo a los trabajadores) para
poder realizar su función de verificación, necesaria para que los asistentes obtengan el
pase para acceder al recinto (y cumplir, de este modo, con los requisitos del Plan).
Además, estos certificados deben conservarse por si durante el evento aflora un caso
positivo, el cual invalidaría el pase y sería comunicado a las Autoridades Sanitarias por
los cauces oportunos.
La gestión del acceso a un evento de estas características requiere la conservación de
los datos a los efectos de facilitar el acceso al evento en los días de su celebración y
evitar aglomeraciones a la entrada. Los datos COVID únicamente se conservaron durante
el periodo del evento y se borraron una vez finalizó el desmontaje del evento.
El MWC finalizó el 3/03/2022, y QUIRONPREVENCIÓN destruyó todos los datos el día
8/03/2022, que fue la fecha de finalización del desmontaje.
10.“En su caso, detalle del procedimiento establecido para que los trabajadores registren
la documentación en la plataforma.” Respondió que:” El procedimiento es el siguiente:
Paso 1. El proveedor registra a cada uno de sus trabajadores en la plataforma de GSMA.
Paso 2. Una vez registrados, cada trabajador recibe un correo electrónico de
confirmación de GSMA con un link que facilita acceso a su cuenta.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/96
Paso 3. Cada trabajador facilita directamente la Información COVID a través de la
plataforma de QUIRONPREVENCIÓN.
Paso 4. Cada trabajador recibe un correo electrónico de confirmación/ rechazo para la
finalización del proceso de registro en la plataforma de GSMA.”
11.“Destinatarios de la información registrada o almacenada.”
Respondió que:” El destinatario de los datos de salud registrados u almacenados es
QUIRONPREVENCIÓN dado que es la entidad que, con arreglo a su condición de
subencargado de tratamiento, debe comprobar si la forma y el contenido de los
certificados sanitarios se adecuan los criterios de acceso establecidos por la
Organización. Ni GSMA ni FIRA ”han tenido acceso a los datos de salud registrados”.
12.“Informe sobre si se realizan transferencias internacionales y, en su caso,
identificación de los importadores de datos, país de destino de la transferencia, y si
existe, decisión de adecuación o garantías adecuadas en materia de transferencias
internacionales de datos.”
Respondió que: ”No existe transferencia internacional de datos. Los datos de salud se
almacenan en los servidores que QUIRONPREVENCIÓN tiene en España”.
13.“La Evaluación de Impacto realizada o motivos por los que no se ha realizado”.
Respondió que se adjunta como ANEXO NÚMERO 3, en cuyo título, alude expresamente
al tratamiento de COVID 19 relacionado con datos de salud de “los empleados de los
proveedores de GSMA” que “proporcionan los servicios acordados entre GSMA y sus
proveedores” para la celebración de MWC Barcelona 2022, aludiendo a que los datos se
suben a “una plataforma proporcionada por el subencargado de GSMA,QUIRON
PREVENCION (QP), “y que ninguna otra parte más que QP tiene acceso a esa
plataforma”, y reitera que la finalidad de asegurar el acceso seguro. Se aprecia que la
fecha de la EIPD que figura al final del documento es 22/02/2022, cuando los datos de los
empleados para el acceso a las instalaciones de montaje, según el correo electrónico
aportado por el reclamante de 20 y 21/01/2022 donde se indicaba que la recogida de
datos sanitarios COVID 19 sería de 23/01/2022 hasta el 8/03/2022.
“Las actividades de tratamiento están en concordancia con las medidas implantadas por
el Plan GSMA ”Comunidad Comprometida” que se ha desarrollado y aprobado por
autoridades catalanas y españolas, incluyendo las de salud.”
En el apartado de ¿cuál es la fuente de los datos?:
“Los de empleadores, es decir, los proveedores de GSMA; y los interesados
directamente.”
En ”¿Cuál es la naturaleza de la relación con los interesados?”, se indica que “los
interesados son los empleados de los proveedores de GSMA comprometidos, o ligados
con FIRA o con GSMA para proporcionar servicios en la sede del evento MWC”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/96
En ”descripción del tratamiento”, se especifica en proceso de recogida de datos que:
“La información COVID es subida en la plataforma directamente por los
empleados”.
El proceso de registro es como se ha explicado en el anterior punto 10, añadiendo
que se indica que :
“GSMA solamente es notificado sobre si la persona está capacitada para acceder a la
sede o no.”
Se indica que los datos de salud son de categoría especial y que los empleados, debido
al desequilibrio de poder en la relación contractual de empleo constituyen un grupo
vulnerable.
“- ¿Qué quieres lograr?
“Cumplir con el Plan acordado con las autoridades sanitarias españolas/ catalanas para
garantizar que el evento del MWC sea un entorno seguro de COVID -19 para todos los
asistentes. Cumplir con los requisitos sectoriales en materia de organización de
Congresos, en particular los Planes Catalán de Actuación COVID de Recintos Feriales y
Congresos (Plan de Actuación de Congresos y Plan de Actuación de recinto ferial).”
“¿Es apropiado consultar a otras partes interesadas internas y, de ser así, a quiénes?
“El tratamiento de la Información COVID es obligatorio en el marco del Plan que se ha
redactado en coordinación con las autoridades sanitarias catalanas, el Departamento de
Empresa y Conocimiento de la Generalitat de Catalunya, PROCICAT (Comisión del
Ministerio del Interior de la Generalitat de Catalunya) así como la Agencia de Salud
Pública de Barcelona y el Departamento de Salud Pública de la Sanidad Española. El
Plan ha sido aprobado por PROCICAT.”
-Afecta a 11.970 personas.
-Se indica en ”contexto de tratamiento”, que la relación con los interesados es que son
empleados de los proveedores de GSMA y proporcionan sus servicios en la sede del
evento del MWC. Sobre ”¿cuánto control tendrán ellos?”, se indica que: ”Se informa a las
personas sobre sus derechos en relación con el tratamiento a través del Aviso de
Privacidad proporcionados por su empleador en nombre de GSMA. De acuerdo con los
Términos y Condiciones de Registro de Contratista entre GSMA y los proveedores, los
proveedores se comprometen contractualmente a cumplir con todas las obligaciones de
transparencia y legalidad antes de compartir los datos de los empleados con la GSMA,
incluida la provisión del Aviso de privacidad de la GSMA a todos los empleados
pertinentes.”
En el mismo punto se indica:”¿Esperarían que usted usara sus datos de esta manera?”
“Sí. Consulte la respuesta anterior sobre la forma en que se informó a las personas sobre
las actividades de tratamiento. Además, las medidas de COVID -19 llevadas a cabo en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/96
MWC van en consonancia con las medidas tomadas en eventos similares, ya que se
acuerdan con las autoridades sanitarias que establecen estos requisitos en general (por
ejemplo, se requerirían medidas similares para acceder a otros espacios concurridos).”
También en ”contexto de tratamiento”, figura:”¿Existen preocupaciones previas sobre
este tipo de tratamiento o fallas de seguridad?”
“No. Cualquier medida implementada por GSMA (incluido el tratamiento de información
de COVID) es discutido y consensuado con las autoridades sanitarias correspondientes.”
QUIRONPREVENCIÓN cuenta con certificaciones de seguridad (certificación ISO
27001:2013 y la certificación según el Esquema Nacional de Seguridad Español).
En el apartado de paso 4”Valoración de la necesidad y proporcionalidad” se alude a las
bases de legitimación para el tratamiento de datos, incluyendo el artículo 6.1 c):
“El Commited Community Plan.” (CCP) fue elaborado en colaboración con las
autoridades catalanas de salud y aprobado por PROCICAT, y se alinea con los Planes de
Acción COVID Cataluña para Ferias y Congresos aplicable a GSMA y FIRA. El
“Commited Community Plan incluía el requisito de solicitar información COVID”.
Seguidamente reitera la cita de la Ley 18/2009, de 22/10, de salud pública, en el ámbito
de la CCAA de Cataluña, como norma que puede afectar en el ámbito de salud a los
ciudadanos para prevenir enfermedades, y GSMA considera el CCP constituye esa
habilitación, al ser aprobado por las autoridades de salud catalanas como un mandato
para implementar las medias del COVID 19 en el MWC para prevenir la extensión de la
COVID 19, incluyendo la recogida de información COVID que es requerida por la y para
cumplir las instrucciones de las autoridades de salud.
También cita como base legitimadora, aparte del artículo 6.1.c), el artículo 6.1.d), y el
artículo 9.2.g) del RGPD. Concreta este 9.2.g) en que ”se produce un interés público
sustancial en función del derecho de la Unión o de la Ley española. GSMA fue requerido
por ley para cumplir con las instrucciones de salud de las autoridades de salud y
desarrollar y cumplir con el ”Commited Community Plan.”
En el mismo apartado se responde a: ¿”Puede ser obtenido el mismo resultado con el
tratamiento de menos datos”, ¿Cómo se proporciona transparencia a los interesados?,
reiterando que el aviso de privacidad-“privacy notice”, se proporcionó por sus empleados
en representación de GSMA, antes de que sus datos fueran compartidos por el
empleador con GSMA…” ¿Cómo se posibilita el ejercicio de derechos a los interesados?,
indicando, de acuerdo con el “aviso de privacidad” (privacy notice).
-En el paso 5,”valoración de riesgos identificación valoración y mitigación de riesgos” es
un cuadro con cinco columnas denominadas:
“Fuente de riesgo y probables consecuencias”
“Severidad del riesgo”
“probabilidad del riesgo”
“riesgo general”.
Figuran en esta tabla, entre otros:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/96
-”No proporcionar suficiente información a los individuos”,” GSMA asegura que a los
empleados de los proveedores se les proporciona el Aviso de Privacidad antes de que
sus datos sean compartidos por su empleador con GSMA. De acuerdo con los Términos
y Condiciones de Registro de Contratista, los proveedores son obligados
contractualmente a cumplir todas las obligaciones de transparencia y licitud antes de
compartir los datos de sus empleados con GSMA, incluyendo la provisión del Aviso de
privacidad de GSMA para todos los empleados antes de compartir.” Se cataloga como:
alto en severidad del riesgo, remoto en probabilidad y riesgo general: bajo. La
información sobre los derechos está también incluida en la política de Privacidad.”
“Los derechos de los interesados y la forma en que pueden ejercerse se detallan en la
Comunicación sobre privacidad.” En la valoración de los riesgos, se indica:
- como de probabilidad “remota”, la de una queja por la decisión de denegar el acceso a
un empleado de un proveedor con base a la información COVID, a pesar de catalogarse
de “severidad del riesgo, alto”, se cataloga como “riesgo global: bajo”, y en medidas de
mitigación se indica que ”GSMA garantiza un enfoque coherente para determinar si se
puede conceder a una persona la entrada en el lugar del evento MWC sobre la base de
la información sobre la COVID-19 y a la luz del Plan. Los niveles de denuncia fueron
bajos en la MWC 21”, finalizando que las personas ”tienen las tres opciones, certificado
de vacunación, prueba PCR negativa válida por 72 horas, o certificado médico de
recuperación de la enfermedad.”
-En ”errores para cumplir con solicitudes de interesados”, se indica que los derechos de
las personas se incluyen en la ”privacy notice” proporcionada a los empleados de los
proveedores, con ”riesgo global bajo”.
En ningún punto de la EIPD se menciona la intervención del DPD, sino que en el
apartado ”link to advice from DPO (if any)” figura N/A. Tampoco consta que se hubiera
consultado a los afectados.
14.”La decisión adoptada a propósito de esta reclamación.” Señala que no se ha
adoptado ninguna decisión a propósito de esta reclamación por cuanto todas las
actuaciones llevadas a cabo por parte de GSMA en el ámbito de la protección de datos
de carácter personal han mostrado el máximo respeto por las obligaciones vigentes, sin
que considere que se haya producido ninguna incidencia, por lo que no ha adoptado
ninguna medida.
CUARTO: Admisión a trámite de 29/04/2022
Con fecha 29/04/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a
trámite la reclamación presentada por la parte reclamante.
QUINTO: Consulta a Informe mercantil de la empresa reclamada
En la consulta realizada en el “informe monitoriza de la empresa no mercantil GSMA
LTD”, con el NIF que figura en este acuerdo, como entidad no residente, consta en el
cuadro “magnitudes financieras estimadas” un “importe neto de la cifra de negocios”: de
2021 de XXXXXXXX, y del año anterior: XXXXXXXXX.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/96
SEXTO: Antecedentes registrados de la reclamada en la aplicación de gestión de
expedientes de la AEPD SIGRID
Consta en el registro de SIGRID, sistema de información de la gestión de expedientes de
la AEPD, que la reclamada fue sancionada en el procedimiento EXP202100603,
PS/00553/2021, con imposición de una sanción pecuniaria de 200.000 euros en
resolución de 24/02/2023, por una infracción del artículo 35 del RGPD, tipificada en el
artículo 83.4 a) del RGPD, y a efectos de prescripción, calificada como grave en el
artículo 73.t) de la LOPDGDD, constando que se recurrió en reposición, siendo
desestimado el 28/04/2023.
SÉPTIMO: Acuerdo de inicio de procedimiento sancionador, de 5/06/2023.
Con fecha 5/06/2023, la Directora de la AEPD acordó:
-“INICIAR PROCEDIMIENTO SANCIONADOR a GSMA LIMITED, con NIF N4004237F,
por la presunta infracción del RGPD, artículos:
- 14 del RGPD, de conformidad con el artículo 83.5.b), tipificada como muy grave a
efectos de prescripción en el artículo 72.1.h) de la LOPDGDD, con una multa de 100.000
euros.
-9.2 del RGPD, de conformidad con el artículo 83.5.a), tipificada como muy grave a
efectos de prescripción en el artículo 72.1.e) de la LOPDGDD, con una multa de 300.000
euros.
- 6.1 del RGPD, de conformidad con el artículo 83.5.a), tipificada como muy grave a
efectos de prescripción en el artículo 72.1.b) de la LOPDGDD, con una multa de 200.000
euros.”
OCTAVO: Alegaciones de la reclamada de 27/06/2023
Con fecha 27/06/2023, la reclamada ha efectuado las siguientes alegaciones:
-Al haber sido notificado el acuerdo de inicio también a su entidad participada GSMC,
reitera la distinción entre la reclamada e imputada y GSMC, que no tiene papel alguno en
el tratamiento de datos del MWC Barcelona.
1- Expone el número de asistentes en los años 2019, (110.000) y en 2023 (88.500) y que
ocupa un espacio de 240.000 metros cuadrados, equivalente a unos cuarenta campos de
fútbol, en el recinto ”FIRA de Gran Vía”, habiendo cancelado la edición de febrero 2020,
por la expansión del virus cuando aún no se había declarado la pandemia. Manifiesta que
ello acredita en este caso los criterios de prudencia que exige la legislación sanitaria y las
medidas preventivas que rigen su actuación, limitándose a dar cumplimiento a la
normativa en materia de salud pública.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/96
2-Sobre FIRA DE BARCELONA, aclara que es una entidad de naturaleza publica de base
asociativa y carácter consorcial de fomento, integrada por la Generalitat, Ayuntamiento de
Barcelona y la Cámara Oficial de Comercio, Industria y Navegación de Barcelona. Desde
el punto de vista de normativa en materia de protección de datos, FIRA y
QUIRONPREVENCIÓN (en adelante QP)-como subencargada- suscribieron el
correspondiente contrato de prestación de servicios de salud para el MWC22 de
tratamiento. FIRA actúa, como encargada de tratamiento de GSMA. Se ha aportado como
DOCUMENTO 4 contrato entre FIRA y QP (proveedor), fechado el 21/02/2022, aunque
en el apartado de duración indica que “tendrá una vigencia a contar desde el mes de
enero 2022”, destacando:
-“El evento MWC 2022 organizado por GSMA Ltd. se celebrará en las instalaciones
feriales de FIRA DE BARCELONA, recinto Gran Vía.”
-“FIRA por mandato de GSMA Ltd., y en su calidad de contratista principal se encarga de
gestionar y coordinar con el proveedor previamente designado por GSMA la prestación
de servicios relativos a la validación de certificados COVID”.
-“FIRA y QP han definido los requerimientos mínimos para la prestación de tales servicios
y condiciones de su contratación, habiendo presentado oferta el proveedor. Las partes
manifiestan su conformidad y aceptación con oferta de servicios para el MWC BCNA
2022 comprensiva de la oferta del proveedor y requerimientos de FIRA y GSMA”.
Como parte del contrato, se incluyen hasta SEIS ANEXOS
Le siguen las cláusulas, entre las que figuran la realización de la comunicación de
resultados y validación de los test/certificados de vacunación en el ANEXO 1B,
“Integración de sistemas”, entre las que se cita que se comunicará a FIRA lo resultados,
solo los tests negativos, “a través de una API que proveerá FIRA a través de la cual
indicará el identificador del participante y la validez de la prueba para que el participante
sea marcado como “verificado para el acceso” en los sistemas de control de acceso al
evento.”
Consta una cláusula de confidencialidad de la información entre proveedor y FIRA,
considerando confidencial toda información en su caso recibida del organizador del
evento, que será utilizada por el proveedor a los únicos fines de prestar el servicio para el
que haya sido requerido.
Como parte anexa del contrato, figura una especifica de “contrato de encargado de
tratamiento”, ANEXO VI, en la que se regulan las condiciones conforme a las cuales
QUIRON PREVENCION SLU como subencargado de tratamiento llevará a cabo el
tratamiento de datos necesarios para la prestación del servicio, de conformidad con el
artículo 28 del RGPD. Se indica, entre otros contenidos, que GSMA es el responsable del
tratamiento y FIRA ostenta la posición de encargado de tratamiento. En su punto 1.3, en
cuanto al colectivo de interesados afectados, solo se indica que:” Para la ejecución de los
servicios, el responsable del tratamiento pone a disposición del subencargado la
información que se describe respecto a los participantes en el evento:
“Datos identificativos, nombre, apellidos, número de identificación gubernamental:
DNI,NIE-pasaporte), datos de contacto- número de teléfono, dirección de correo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/96
electrónico, datos de salud (certificados de vacunación, recuperación y pruebas
diagnósticas frente a COVID 19). En el punto 2.2, se indica como garantía y compromiso
del subencargado, tratar los datos de acuerdo con las instrucciones del encargado.”
Entre las obligaciones del responsable del tratamiento, punto 8, figura la de “proporcionar
la información a los interesados sobre el tratamiento de sus datos personales”
Aporta la reclamada copia, en DOCUMENTO 3A Y 3B, del contrato marco entre FIRA y
GSMA en inglés. El primero, de 22/11/2019, FIRA como titular de las instalaciones-
proveedor de servicios- y el organizador del MWC Barcelona, GSMA, pactan servicios
adicionales a los que suscribieron el 14/07/2011, conocidos como “HOST CITY
PARTIES”, en los que se encuadran otras entidades públicas (Ayuntamiento de la ciudad,
Generalitat, etc.). Se indica en el apartado 5:”protección de datos e información de
seguridad”, que:” El proveedor deberá cumplir con las disposiciones del anexo de
protección de datos que se incluye en el anexo 1, parte A de este acuerdo, que figura en
el acuerdo en el que se configura a el proveedor como encargado del tratamiento y a
GSMA como responsable del mismo.”
El segundo, DOCUMENTO, 3B, refleja una enmienda al contrato de 22/11/2019, con
objeto de extender su vigencia hasta 2030, y se actualiza el citado anexo 1, parte A,
antes mencionado.
3-Se adjunta, como DOCUMENTO número 7 bis, certificado de destrucción emitido por la
entidad QP. El MWC finalizó el 3/03/2022 de marzo y QP destruyó todos los datos el día
8/03/2022, que fue la fecha de finalización del desmontaje.
QP dispone de la certificación ISO 27001:2013, acreditado bajo criterio ENAC, así como
la certificación de conformidad del Esquema Nacional de Seguridad que proporcionan los
controles de seguridad adecuados para proteger los activos de información de la
organización.
4-Menciona las diversas normas que pueden habilitar en general actuaciones restrictivas
y de intervención por las autoridades sanitarias del Estado (LO 3/1986 de 4/04, de
medidas especiales en materia de salud pública y Ley 14/1986 de 25/04, General de
Sanidad. En al ámbito de Cataluña reitera la citada Ley 18/2009 de 22/10 de salud
pública, en cuyo cumplimiento, el Departament de Salut de la Generalitat de Catalunya
(GC) aprobaba periódicamente resoluciones en consonancia con el estado de la
pandemia y fijaba medidas, de forma coordinada con el Plan Territorial de Proteccion Civil
en Cataluña (PROCICAT)
Estima que el marco jurídico aplicable a la organización del MWC 22, lo formaban el
cumplimiento de las condiciones aplicables conforme a la legislación básica, Ley 2/2021
de 29/03, de medidas urgentes de prevención, contención y coordinación para hacer
frente a la crisis sanitaria ocasionada por el COVID 19, y las medidas y restricciones
aprobadas por el Departament de Salut de la Generalitat de Catalunya. Añade, que tuvo
que tomar sus acciones de organización bajo el principio de precaución y deber de
cautela. Acompaña en DOCUMENTO 5, copia de resoluciones dictadas por el citado
Departament de Salut, desde el 7/12/2021 al 2/03/2022, comprendiendo un total de cinco
resoluciones que tienen en común un esquema similar, en el que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/96
Establecen cada una de ellas, con vigencia temporal las medidas en materia de salud
pública para la contención del brote epidémico de la pandemia de COVID 19 en el
territorio de Cataluña, indicándose el nivel de alerta según las cuatro fases existentes,
informando de los indicadores epidemiológicos y asistenciales, contando con informes
como el del Comité Científico Asesor, o el director de la Agència de Salut Pública de
Catalunya (ASPCAT).
Tras indicar diversas disposiciones normativas que se relacionan con el ámbito de la
salud pública, en las que las autoridades competentes sanitarias pueden adoptar diversas
medidas, se indica que “la intervención administrativa en las actividades públicas y
privadas necesaria para afrontar la situación de crisis sanitaria ocasionada por la COVID-
19, amparada en el marco legislativo mencionado, sujeta las medidas que afecten a los
derechos fundamentales a la garantía adicional del control judicial con respecto al juicio
de proporcionalidad en su triple vertiente: idoneidad, necesidad y proporcionalidad.”
Como referencias a medidas que afectan a derechos fundamentales, se cita el
requisito del certificado COVID para el acceso a determinadas actividades no esenciales
en espacios cerrados (restauración, salas de actividad física y/o deportiva, gimnasios y
actividades recreativas musicales permitidas: salas de concierto, cafés teatro, cafés
concierto y restaurantes musicales), y también se recoge para las visitas a centros
residenciales de personas mayores y de personas con discapacidad, que son
mencionadas por primera vez en la resolución SLT/3512/2021 de 25/11, subsisten en la
de 7/12/2021, y se reitera por ejemplo en la resolución SLT8/2022 de 4/01/2022, que
tiene una vigencia de 14 días, desde el 7/01/2022, y en la que además, para el ámbito
que aquí interesa, establece:
En su parte de “introducción”
…”de acuerdo con el posicionamiento del Comité Científico Asesor de la COVID-19, de
18 de noviembre de 2021 contenido en el documento intitulado Proposta per considerar
l'ús del certificat COVID en altres àmbits a Catalunya, entre las medidas que limitan
derechos fundamentales, propone mantener la exigencia del certificado COVID para el
acceso a aquellas actividades no esenciales que se desarrollan en espacios cerrados de
riesgo más elevado por las condiciones de transmisión principal del virus por aerosoles y
donde hay más vulnerabilidad y, por lo tanto, más necesidad de protección.
Estas actividades se limitan al sector de la restauración, salas y gimnasios donde se
realiza actividad física y/o deportiva y salas de concierto, cafés teatro, cafés concierto y
restaurantes musicales- ( luego aludidas en el apartado 3.4: ”uso de certificado COVID”)-
En todas estas actividades se establece la capa de protección sanitaria que supone
como requisito de acceso la presentación del certificado emitido por un servicio público
de salud que acredite alguna de las circunstancias siguientes: que se dispone de la pauta
vacunal completa contra la COVID-19, que se dispone de una prueba diagnóstica
negativa COVID-19 ─PCR o test de antígenos─ con una vigencia determinada, o que se
ha recuperado de la enfermedad en los últimos seis meses (certificado COVID). Quedan
exoneradas de la condición de presentar el certificado COVID las personas menores de
13 años que no tengan limitado, por razón de la edad, el acceso a los locales,
establecimientos, equipamientos o espacios correspondientes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/96
La medida supone una afectación, aunque tenue, a la igualdad y a la intimidad en los
términos de la Sentencia 1112/2021, de 14 de septiembre, de la Sala Contenciosa
Administrativa del Tribunal Supremo, adoptada bajo la cobertura jurídica de la Ley
orgánica 3/1986, de 14 de abril, de medidas especiales en materia de salud pública, en
coherencia con las otras leyes sanitarias, con el objetivo de reducir el riesgo que una
persona infectada entre en contacto con otras no infectadas y no protegidas y les pueda
transmitir la infección.
La idoneidad y la necesidad de la medida en cuanto al objetivo de protección de la salud
y la vida se justifica en la eficacia de la vacunación como actuación preventiva, según
acreditan los estudios científicos, sobre la disminución de contagios, hospitalizaciones y
muertes. Asimismo, hay varios factores que aumentan el riesgo de transmisión del
SARS-CoV-2 en las actividades condicionadas a esta medida, especialmente en el
contexto actual, donde hay una mayor circulación de variantes del SARS-CoV-2 más
contagiosas.”
-En su apartado 3.4 para el acceso a los citados espacios se indica:
“A tales efectos: las personas titulares o responsables del local, establecimiento,
equipamiento o espacio tienen que establecer el sistema de control de accesos que
permita hacer la comprobación de cualquiera de los certificados previstos presentados
por las personas que quieran acceder como usuarias, sin conservar los datos que
contienen y sin hacer uso para ninguna otra finalidad que la mencionada de control de
acceso. Además, se ha de avisar con un cartel en zona visible a las personas afectadas
de la no conservación de los datos personales acreditados.”
Esta disposición de aportación de documentación de salud no pervive tras la sucesiva
aprobación de las citadas resoluciones, desde la emitida SLT 99/2022, de 26/01 que entra
en vigor el 28/01/2022.
-En cuanto al sector de “Congresos, convenciones, ferias comerciales y fiestas mayores”
aparece, por ejemplo, mencionado por primera vez en la SLT/3652/2021 de 7/12, y
reiterada en posteriores resoluciones, con el siguiente tenor:
“1.Se recomienda la celebración de congresos, convenciones, ferias comerciales y
actividades asimilables, así como acontecimientos profesionales por medios telemáticos.
La celebración presencial de congresos, convenciones, ferias comerciales y actividades
asimilables en espacios cerrados requiere que se garantice la ventilación mínima
establecida en la normativa vigente en materia de instalaciones térmicas de edificios.
Cuando en el desarrollo de estas actividades se puedan concentrar más de 1.000
personas, en espacios cerrados se recomienda mantener el cumplimiento de las
condiciones de ventilación y calidad del aire reforzadas indicadas en el anexo 4 y, tanto
en espacios cerrados como al aire libre, se tiene que garantizar el cumplimiento de las
medidas organizativas de control de aglomeraciones indicadas en el anexo 3.”
-La reclamada pasa a resumir las principales condiciones que en estas resoluciones se
fijaban, que divide en:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/96
1”medidas generales de protección individual y colectiva: distancia y mascarilla”
Contempladas en la Ley 2/2021, uso de la mascarilla individual (art 6.1 )”en cualquier
espacio cerrado de uso público o que se encontrará abierto al público y en eventos
multitudinarios que tuvieran lugar en espacios al aire libre, cuando los asistentes estén de
pie. Si están sentados era obligatorio cuando no se pudiera mantener una distancia de
seguridad de al menos 1,5 m entre personas”, y distancia de 1,5 metros entre personas,”
y que no hubiera sido posible cumplir, si no se hubiera exigido la documentación COVID
19 de forma telemática para su comprobación y validación“.
2”Uso del certificado COVID”
Manifiesta que “la normativa referida exigía la presentación de un certificado COVID para
acceder a salas y gimnasios donde se practicase actividad deportiva, salas de conciertos,
cafés, teatro, cafés concierto y actividades de restauración.
“Dichas medidas se mantuvieron vigentes durante los meses de preparación y
organización del MWC22, es decir desde noviembre y hasta finales de enero, si bien a
partir de la Resolución SLT/99/2022, de 26/01, dejó de ser obligatoria la aportación de
certificados COVID-19 para acceder a dichas actividades (salas y gimnasios donde se
practicase actividad deportiva, salas de conciertos, cafés teatro, cafés concierto, y
actividades de restauración).”
“No obstante, la reclamación y el expediente sancionador improcedentemente incoado
por la AEPD, se refiere a la documentación que exigió GSMA con carácter previo a la
Resolución SLT/99/2022, de 26/01 y ello al margen que, como se constatará, se trataba
de la documentación que requería la organización de un evento que preveía la asistencia
de 61.000 personas (más allá de las actividades para las que se había previsto como
obligatorio el certificado hasta el 26/01/2022) y en atención a la situación pandémica
existente”
Respecto la celebración de congresos, se requería que se garantizara la ventilación
mínima establecida en la normativa vigente.
“Ahora bien, lo cierto es que en modo alguno las Resoluciones del Departament de Salut
preveían una organización de las dimensiones del MWC22”.
“Por tanto, las medidas previstas en las resoluciones del Departament de Salut para
congresos y ferias, no daban una cobertura clara a un evento como el MWC22 que iba a
reunir a 61.000 asistentes, e implicaba la participación de 11.900 trabajadores y
proveedores; situación que evidenciaba la necesidad de exigir la aportación de
certificados COVID-19”.
Las medidas que tomó GSMA son producto de la situación a nivel de evolución
pandémica durante la fase de preparación y celebración del MWC 22, a partir de los
datos del Departament de Salut e informes previos de la Agencia de Salud Pública de
Catalunya (ASPC) aprobadas de conformidad con el artículo 55 bis de la ley 19/2009,
aportadas en DOCUMENTO 5, y con el amparo del principio de precaución en términos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/96
de salud pública. Examina la situación que exponía la resolución de 23/12/2021, en fase
de alerta 4 sobre un total de 4 fases, y detalla informes del Director de la ASPC de
23/12/2021 sobre la variante ómicron, previéndose un incremento a más de 50.000 casos
diarios a mediados de febrero de 2022.
En definitiva, los meses de preparación y celebración del MWC22, se caracterizaron a
nivel pandémico como una fase de alerta máxima y riesgo muy alto, a la que debía
sumarse la incertidumbre y alarma respecto el impacto que la variante Ómicron podría
implicar.
En este contexto, GSMA de forma coordinada con las autoridades sanitarias catalanas y
españolas optó por exigir certificados COVID-19 en el marco de los proveedores y
trabajadores del MWC22 (que son más de 11.000) articuló la estrategia denominada
“Plan Committed Community”, que se refiere -no a un protocolo concreto y escrito que
pueda ser aportado- sino a las medidas que se iban estableciendo en atención a la propia
evolución impredecible de la pandemia y la singularidad de un evento como el MWC. De
hecho, las medidas venían configuradas por todas las Resoluciones e informes aportados
como DOCUMENTO 5.
Indica las 17 reuniones que se tuvieron con autoridades sanitarias desde octubre 2021
hasta finales de febrero de 2022, y que ”en dichas reuniones se examinó y validó la
actuación finalmente llevaba a cabo especificada en el documento ”PROTOCOLOS DE
ACTUACIÓN MWC22” que se acompaña como DOCUMENTO 6 preparado por FIRA y
GSMA conjuntamente, tal y como se observa en dicho documento, que fue presentado a
las autoridades sanitarias catalanas y estatales para su conformidad, que establecía que
el proceso de registro requería que los montadores y participantes cargaran sus datos
COVID.
Manifiesta que: ”De este modo, de conformidad con el principio de precaución, se optó
por exigir Certificados COVID, de igual manera que se exigía hasta el 26/01/2022 para
bares, restaurantes o gimnasios. Dicha exigencia es a todas luces proporcionada y
adecuada, si tenemos en cuenta las dimensiones del evento. En este sentido,
recordemos que la organización del MWC22 requirió la intervención de 11.900
trabajadores y proveedores. ”“GSMA se ha limitado a dar cumplimiento a la normativa en
materia de salud pública, y las medidas decretadas por las autoridades sanitarias. Y todo
ello siempre partiendo del principio de precaución previsto en el art. 3 de la Ley 33/2011 y
el de cautela exigido por el artículo 4 de la Ley 2/21.”
El DOCUMENTO 6 que aporta, es un gráfico titulado:” requerimientos de salud para
acceder al MWC 2022 protocolo 1”, 27/01/2022, versión 2.0, en el que se indica que los
montadores/alta registro, han de subir el pasaporte COVID, PCR-TAR, que es
comprobado por QUIRON, más una posterior autodeclaración de salud aceptada para
conseguir el control de acceso, con protocolos adicionales para caso positivo, criterios y
casuística de aislamiento en caso de un positivo, y actuación en caso de indisposición de
un asistente
5-No se ha producido infracción del artículo 9.2 del RGPD porque la actuación está
amparada por las excepciones que contemplan los epígrafes g) e i)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/96
“g) el tratamiento es necesario por razones de un interés público esencial, sobre la base
del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al
objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y
establecer medidas adecuadas y específicas para proteger los intereses y derechos
fundamentales del interesado; (…)
“i) el tratamiento es necesario por razones de interés público en el ámbito de la salud
pública, como la protección frente a amenazas transfronterizas graves para la salud, o
para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de
los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los
Estados miembros que establezca medidas adecuadas y específicas para proteger los
derechos y libertades del interesado, en particular el secreto profesional”
Debe aclararse en primer lugar, que, en la línea de lo analizado en la alegación anterior,
GSMA aplicó las medidas y limitaciones en materia de protección de la salud pública
previstas en las Resoluciones del Departament de Salut que se adjuntan como
DOCUMENTO número 5 y que GSMA de forma coordinada con las autoridades
sanitarias, interpretaba y aplicaba, de conformidad con los detalles expuestos.
Común denominador de los artículos mencionados son que el tratamiento es necesario
por razones de interés público, y GSMA ha actuado por razones de interés público sobre
la base de los principios de prudencia y cautela y de las normas de sanidad dictadas por
las diversas Administraciones, con el fin de establecer las medidas sanitarias necesarias
para proteger la salud de los trabajadores y proveedores, así como también a los
asistentes.
Además, el derecho de protección de datos no es ilimitado, y encuentra sus límites en
otros derechos fundamentales como el derecho a la vida y a la salud. Cita la sentencia
del Tribunal Supremo número 1112/2021 de 14/09/2021 referida a medidas consistentes
en la exigencia de exhibición del pasaporte COVID 19 en establecimientos de pública
concurrencia. La sentencia valora la afectación de la intimidad en relación con la vida y la
salud pública. Concluye manifestando que “el tratamiento de los datos sensibles
efectuado y que se refería a los datos exigidos conforme la legislación sanitaria y las
Resoluciones dictadas por el Departament de Salut, responden a un interés público
esencial indiscutible como es la protección de las personas que iban a intervenir en el
MWC22 en un contexto pandémico como el descrito.”“ El TS avala la suficiente cobertura
de la normativa de salud de Galicia (en relación con el caso enjuiciado en la Sentencia)
para imponer idénticas medidas que las acordadas por las autoridades sanitarias
catalanas; medidas que, como hemos visto, GSMA tenía la obligación legal de interpretar
y aplicar en el marco de la organización del MWC22 y que le exigieron, en atención a la
magnitud del evento, el tratamiento telemático.”
Las medidas y el tratamiento de datos personales efectuado se encuentran amparadas
en la legislación de salud pública. Se exige que el tratamiento se dicte sobre la base del
derecho de los Estados miembros, y a su vez, no puede obviarse que el art. 9.2 de la
LOPDGDD concreta:” 2. Los tratamientos de datos contemplados en las letras g), h) e i)
del artículo 9.2 del Reglamento (UE) 2016/679 fundados en el Derecho español deberán
estar amparados en una norma con rango de ley, que podrá establecer requisitos
adicionales relativos a su seguridad y confidencialidad”. Pues bien, tal y como se ha
analizado ampliamente, las medidas aplicadas por GSMA, vienen amparadas por normas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/96
con rango de ley, tanto estatales como autonómicas: LO 3/1986, Ley 14/1986, Ley 2/2021
y Ley catalana 18/2009.”Al amparo de dicha legislación y de las Resoluciones aprobadas
por el Departament de Salut, que GSMA ha implementado las medidas de registro y
tratamiento de datos, para poder dar cumplimiento efectivo a las medidas exigidas por el
legislador y las autoridades sanitarias. “Sirva recordar que la suficiencia de dicho marco
normativo para acordar medidas limitadoras en el marco de la prevención de la pandemia
por COVID-19, y en concreto, la exigencia de Certificados COVID-19 ha sido confirmada
por la Sentencia 1112/2021”.
El tratamiento ha sido proporcional y adecuado, sobre los datos de salud de COVID 19,
en modo electrónico y durante el tiempo que duró el evento.
Con arreglo al artículo 9.2.i) del RGPD, GSMA adoptó medidas adecuadas y específicas
para proteger los derechos y libertades, sin haber tenido acceso a los datos.
-No se ha vulnerado el artículo 6.1 del RGPD. Reitera que la actuación se ampararía en
los artículos 6.1.c) y 6.1.d) del RGPD. El tratamiento de datos personales efectuado por
GSMA se llevó a cabo en cumplimiento de las obligaciones legales impuestas por la
legislación de salud pública y las medidas aplicadas por las autoridades sanitarias. La
base jurídica de las medidas concretas exigidas por las autoridades sanitarias y aplicadas
por GSMA en cuanto al tratamiento de datos y exigencia de pasaporte COVID19, y
consta aportada como DOCUMENTO número 5. A los efectos de acreditar cuál es la
obligación legal que GSMA estaba aplicando y dando cumplimiento a partir de la
exigencia de certificados COVID-19, con arreglo a lo previsto en el art. 6.1.c) RGPD,
procede recordar: ”Que la LO 3/1986, y la Ley 14/1986 amparan todas aquellas medidas
preventivas y restrictivas acordadas por las autoridades sanitarias para controlar las
enfermedades transmisibles ante un riesgo inminente y extraordinario para la salud. -
Asimismo, en cumplimiento de la legislación básica estatal, la Ley catalana 18/2009,
reitera que de conformidad con dichas Resoluciones del Departament de Salut se exigía
certificado COVID-19 para acceder a cualquier lugar de pública concurrencia (bares,
restaurantes, gimnasios, etc.): interpretando y aplicando dichas Resoluciones del
Departament de Salut conforme el principio de precaución y de cautela, GSMA exigía el
Certificado Covid-19 a todos los proveedores del MWC22, así como los asistentes. Y
todo ello, de conformidad con el criterio y autorización recabados por parte de las
autoridades sanitarias.”
Tal y como el RGPD reconoce, la base jurídica de los tratamientos puede ser múltiple.
Así, en este caso, el tratamiento de datos descansa en una doble base jurídica, también
aplicando el artículo 6.1.d) del RGPD, teniendo en cuenta el Considerando (46) del
RGPD reconociendo aquellas situaciones de emergencia, explicitando que será lícito el
tratamiento de datos personales cuando sea necesario para fines humanitarios, incluido
el control de epidemias, como reflejó el informe de la AEPD 17/2020, que precisa que el
art. 6.1.d) RGPD es suficiente base jurídica y puede ser utilizada para los tratamientos de
datos personales dirigidos a proteger a todas aquellas personas susceptibles de ser
contagiadas en la propagación de una epidemia:” El art. 6.1, d) RGPD considera no sólo
que el interés vital es suficiente base jurídica del tratamiento para proteger al “interesado”
(en cuanto que este es un término definido en el art. 4.1 RGPD como persona física
identificada o identificable), sino que dicha base jurídica puede ser utilizada para proteger
los intereses vitales “de otra persona física”, lo que por extensión supone que dichas
personas físicas pueden ser incluso no identificadas o identificables; es decir, dicha base
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/96
jurídica del tratamiento (el interés vital) puede ser suficiente para los tratamientos de
datos personales dirigidos a proteger a todas aquellas personas susceptibles de ser
contagiadas en la propagación de una epidemia, lo que justificaría, desde el punto de
vista de tratamiento de datos personales, en la manera más amplia posible, las medidas
adoptadas a dicho fin, incluso aunque se dirijan a proteger personas innominadas o en
principio no identificadas o identificables, por cuanto los intereses vitales de dichas
personas físicas habrán de ser salvaguardados, y ello es reconocido por la normativa de
protección de datos personales”. Manifiesta que “En estas situaciones de emergencia
sanitaria, permite a los responsables del tratamiento adoptar las medidas necesarias
para salvaguardar la salud de las personas, siendo dichas medidas necesarias, las que
las autoridades sanitarias determinen, y las tomadas por la reclamada lo fueron en
aplicación de las resoluciones administrativas del Departament de Salut y la exigencia de
certificados COVID a partir de medios electrónicos, fue consensuada con las autoridades
sanitarias.”
-No se ha vulnerado el artículo 14 del RGPD, se ha cumplido con la obligación. Consigna
en primer lugar la falta de legitimación de la AEPD por cuanto en la reclamación no refiere
que la información aportada por GSMA sea deficiente, solo se centra en los datos de
salud. Alega de aplicación la sentencia de la Audiencia Nacional de 23/12/2022, BBVA,
considerando que en este caso la imputación de dicha infracción del artículo 14 del
RGPD está totalmente desconectada de la reclamación presentada, por lo que en modo
alguno la AEPD puede servirse del presente procedimiento para imputar infracción del
deber de transparencia. Además, indica que la información aportada por GSMA cumple lo
previsto en el artículo 14 del RGPD. Indica que en la política de privacidad facilitada por
GSMA de 29/04/2021, se hace referencia a terceros y proveedores con los términos que
la misma se aplica entre otros, a “personal de terceros y otras personas que participen en
el evento” explicando a continuación el literal de su contenido:
“El presente Aviso de privacidad se aplica al tratamiento de los datos personales de los
participantes del MWC Barcelona, incluidos los asistentes, expositores, patrocinadores,
ponentes, socios, personal de terceros y otras personas que participen en el evento. Esto
incluye los datos personales obtenidos a través del sistema de registro de asistentes, la
aplicación del Evento, el sistema de registro del programa de socios, el sistema de
registro de expositores y socios, el escaneado digital y/o impreso de credenciales y/o de
reconocimiento facial (en los puntos de acceso, para las sesiones o para la participación
en espacios de reunión cerrados) en el Evento, y el sistema de carga masiva de
contratistas.”
Adicionalmente, se contiene la información en el apartado de: “Información que se
obtiene de terceros” que reza:” De vez en cuando, la GSMA recibe información personal
de terceros. Esto puede ocurrir, por ejemplo, si su empleador es miembro de GSMA y le
inscribe en un evento o formación o si su empleador (o entidad por la que está contratado
como contratista o miembro del personal temporal) presta servicios a GSMA y usted
participa en la prestación de estos servicios.”, indicando claramente en la cláusula sobre
el origen de los datos que los empleadores facilitaran los datos de sus empleados.
Considera que el contenido de dicha información es suficiente deduciéndolo de la
afirmación de la AEPD en el acuerdo de inicio al afirmar la “política de privacidad de la
web de la reclamada”, cuyo contenido no alude a los empleados de los proveedores, sino
a los asistentes/participantes al evento, entendiendo que en el acuerdo considera que no
es conforme con el artículo 14 del RGPD, asumiendo el citado acuerdo de inicio y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/96
reconociendo, que el resto de la información ha sido proporcionado de forma adecuada,
siendo suficiente la que figura en la política de privacidad.
Añade que también en la aplicación de registro se contenía la política de privacidad,
aporta impresión de pantalla de un registro: ”Contractor acreditatión-system login” a
rellenar correo electrónico y password, con pestaña ”Sign in”, apartado para hacer link
con el texto:” legal” en la parte inferior izquierda, junto a otro de “contáctanos” que lleva a
la siguiente pantalla, donde se encuentran en la misma pantalla 6, links con variada
información, por mencionar algunos, de cookies, de los términos y condiciones del
evento, o ”privacy” en el que si se hace link figura la ”política de privacidad”. Aporta otra
impresión de pantalla en la que no aclara como se llega a ella, figurando “declaración de
salud” (y un link para más información www. mwcbarcelona.com/atttend/safety) con el
botón de “enviar”. Manifiesta la reclamada que “queda claro en este apartado que se
informa a los empleados de los datos que facilitan los proveedores”. Manifiesta que
aportan en DOCUMENTO 9 el texto de la política de privacidad de la versión aplicable a
la celebración del MWC 22, del que cabe destacar:
-última actualización 29/04/2021
-Se muestran apartados en los que bajo el título que ofrecen sobre la información que
contienen se puede acceder haciendo link en cualquiera de ellos, pudiendo diferenciarse:
¿Cuándo se aplica esa política de privacidad?, en la que consta “El presente Aviso de
privacidad se aplica al tratamiento de los datos personales de los participantes del MWC
Barcelona, incluidos los asistentes, expositores, patrocinadores, ponentes, socios,
personal de terceros y otras personas que participen en el evento. Esto incluye los datos
personales obtenidos a través del sistema de registro de asistentes, la aplicación del
Evento, el sistema de registro del programa de socios, el sistema de registro de
expositores y socios, el escaneado digital y/o impreso de credenciales y/o de
reconocimiento facial (en los puntos de acceso, para las sesiones o para la participación
en espacios de reunión cerrados) en el Evento, y el sistema de carga masiva de
contratistas.”
[traducción en castellano]
En la sección de “información que proporcionas voluntariamente”, entre otra figura:
“COVID 19
Como se establece en nuestro plan Comunidad Comprometida, se le solicitará que se
someta a pruebas de Covid-19 a intervalos regulares durante el Evento. La información
sobre los resultados de sus pruebas se tratará con el único propósito de controlar el
acceso, el rastreo y trazabilidad como requieren las autoridades sanitarias locales, en su
regulación y protocolo de eventos relevantes.
En el apartado de “información que obtenemos de terceras partes” consta:
“De vez en cuando, la GSMA recibe información personal de terceros. Esto puede ocurrir,
por ejemplo, si su empleador es miembro de GSMA y le inscribe en un evento o
formación o si su empleador (o entidad por la que está contratado como contratista o
miembro del personal temporal) presta servicios a GSMA y usted participa en la
prestación de estos servicios.” [traducción al castellano]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/96
En el apartado de “Bases legitimas para el tratamiento de la información personal”, se
indica entre otras cuestiones que: ”En algunos casos, también podemos tener la
obligación legal de recopilar información personal sobre usted, es posible que se nos
exija hacerlo por razones de interés público o que de otro modo necesitemos la
información personal para proteger sus intereses vitales o los de otra persona, por
ejemplo, en caso de una emergencia médica durante el Evento.”
Subsidiariamente, estima la infracción prescrita por su tipificación como leve, pues no
considera omisión, ya que se aportó debidamente la política de privacidad, y si la AEPD
la considera incompleta, la infracción pasaría a ser leve, como un incumplimiento de
carácter formal de los del 74.a) del RGPD.
Eventualmente, al notificarse el acuerdo de inicio, fechado el 5/06/2023, y la reclamación
haberse interpuesto el 29/01/2022, el transcurso del tiempo de prescripción para la
perseguibilidad de las infracciones tipificadas como leves habría transcurrido.
7- Alega la exigibilidad de responsabilidad a título de dolo o culpa, (art 28 de la ley
40/2015) que excluye la responsabilidad objetiva, contemplando lo expuesto por la
sentencia del Tribunal Supremo, sala de lo contencioso administrativo, sección 3ª, núm.
1456/2021 de 13/12, y ante la ausencia de culpabilidad, lo que debe traer como
consecuencia que no puede ser sancionada. Además, en el hipotético supuesto de que
deba ser sancionada,” es evidente la improcedencia de la resolución puesto que en
ningún caso concurren circunstancias agravantes”. Considera que en los hechos que se
imputan a GSMA no concurre culpabilidad, por:
“La voluntad del tratamiento de los datos sensibles era única y exclusivamente
garantizar la salud de los trabajadores, proveedores y en definitiva de los asistentes y
participantes en el MWC22”, en un contexto temporal, diciembre 21-marzo 22 en máxima
alerta, con aprobación por las autoridades catalanas de medias restrictivas cambiantes,
medidas que “exigían la aportación de certificados COVID 19 en cualquier
establecimiento o evento de pública concurrencia”. Conseguido el objetivo de la
celebración del MWC 2022, no supuso ningún impacto negativo en la situación
pandémica.
Con la alta cantidad de participantes, proveedores y trabajadores, actuó desde el
“principio de precaución” (art 3 de la Ley 33/2011 de 4/10, General de Salud Pública), de
forma coordinada y consensuada con las autoridades sanitarias.
Actuación de modo diligente haciendo el encargo a QP.
Subsidiariamente, y planteando en términos dialecticos, se vulnera el principio de
proporcionalidad, en cuanto atribuye unas cuantías excesivas que no se corresponden
con los hechos y circunstancias concurrentes. Estima que no concurriría la agravante de
reincidencia del expediente PS/00553/2021, resuelto el 24/02/2023, en el marco de la
celebración del MWC del año anterior, menos aún para las tres infracciones que se
imputan, cuando la reincidencia según la Ley 40/2015 en su artículo 29 refiere a una
“infracción de la misma naturaleza”, considerando el TS en sentencia de 23/03/2005 (sin
más elementos identificativos) que se daría “respecto del mismo tipo infractor”. Estima
que la reincidencia únicamente es aplicable cuando concurre el mismo tipo infractor
Considera que la infracción del citado PS, por no haber realizado una evaluación de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/96
impacto sobre datos biométricos para el acceso al MWC, incumpliendo el artículo 35 del
RGPD, no es de la misma naturaleza que las tres infracciones imputadas en el presente
procedimiento, consistiendo una en tratamiento de datos de salud.
Se debería haber valorado la naturaleza, alcance, propósito de la operación del artículo
83.2.a) del RGPD, como circunstancia atenuante, no agravante en las tres infracciones
imputadas, ya que se acredita que el único propósito en su actuación era velar por la
salud de los trabajadores y proveedores del MWC22,”en línea con las medidas
compartidas con y acordadas por las autoridades sanitarias”.
Improcedente aplicación del artículo 83.2 b) del RGPD como agravante, en relación con
el incumplimiento del artículo 14 del RGPD, debiendo considerarse como atenuante por
el objetivo perseguido de colaborar con las autoridades sanitarias en el cumplimiento de
la legislación en materia de salud pública y en las medidas y restricciones aplicables para
el control de la COVID 19.y la diligencia en su actuación, que supone el no acceso a los
datos mediante la contratación de QP.
-Improcedencia de la aplicación de la agravante del artículo 83.2.k) del RGPD, en
relación con el artículo 9.2 del RGPD, considerando la AEPD que dada la necesidad de
tratar de forma habitual datos para la organización del evento, lo lleva haciendo en
sucesivas ediciones. Estima que su actividad es desarrollar eventos relacionados con la
promoción de la telefonía móvil y se realiza con la colaboración de la organización publica
FIRA, estimando que la actividad empresarial de la reclamada no tiene ninguna
vinculación especial con los datos de salud de sus participantes y colaboradores.
-Solicita que, si no se archiva, según lo previsto en el artículo 77 de la LPACAP
”procederá que este Instructor acuerde abrir un período de prueba y otorgue trámite a
esta parte para proponer los correspondientes medios de prueba. En este sentido, y al
margen de los documentos aportados junto con este escrito y que se propondrán como
Prueba documental, se procederá a proponer al Instructor las correspondientes de QP, la
Agència de Salut Pública de Catalunya, la Dirección General de Salud Pública del
Ministerio de Sanidad, y la Dirección de Fira de Barcelona, involucradas en el
procedimiento seguido para proteger la salud pública en la organización del MWC22; y
ello sin perjuicio de las otras pruebas que se puedan proponer.”
NOVENO: Primera ampliación de alegaciones, de fecha 11/10/2023
Con fecha 11/10/2023, la reclamada amplia las alegaciones en los siguientes aspectos:
Manifiesta que con posterioridad a la fecha de presentación de las anteriores alegaciones
ha tenido acceso a documentación adicional que a su juicio confirmaría la improcedencia
del expediente sancionador, en concreto de las infracciones del 9.2 y 6.1 del RGPD.
Reitera que la reclamada de forma coordinada con las autoridades sanitarias catalanas y
españolas optó por interpretar y aplicar las resoluciones del Departamento de Salud de la
Generalitat de conformidad con el principio de precaución y prevención exigido por la
normativa de salud pública y la evolución de la variante Ómicron. En consecuencia, se
exigieron certificados COVID-19 en el marco de los proveedores y trabajadores del MWC
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/96
2022, y que se ha acreditado mediante las resoluciones del Departament de Salut y de
resto de documentación aportada al escrito de alegaciones anterior.
Reitera que la tarea de evaluar y validar los certificados COVID no solamente de los
trabajadores, 11.000, sino también de los asistentes, 61.000 personas, presentaba una
complejidad y magnitud que únicamente pueda llevarse a cabo de forma telemática por el
respeto a la distancia de seguridad y las medidas de prevención exigidas en la legislación
sanitaria aplicable.
Aporta informes emitidos por Consejo Científico Asesor de la COVID-19 (CCAC),
(DOCUMENTO 1) órgano asesor adscrito a la Secretaria de Salud Pública del
Departament de Salut, creado “a partir de la resolución SLT/2917/2021 de 29/09,
informes que se configuran como la base científica utilizada por las resoluciones
periódicas que dictaba el citado Departament.” Sus informes emitidos durante los meses
de noviembre y diciembre de 2021 ratificarían que la medida adoptada por la reclamada-
en colaboración con las autoridades sanitarias- de exigir certificado COVID 19 ”a las
personas que entraban en el recinto de FIRA” era conforme a la normativa en materia de
salud pública. En el DOCUMENTO 1 figura el informe del CCA titulado” propuesta para
considerar el uso del certificado COVID en otros ámbitos de Cataluña”, de 18/11/2021,
que según manifiesta la reclamada, evidencia que las exigencias de certificados COVID-
19 en eventos tanto al aire libre como en el interior era unánime en la mayor parte de los
países europeos.
En síntesis, dice:
El certificado COVID 19 de la UE, entró en vigor el 1/07/2021 y acredita la información
sanitaria de una persona respecto a la COVID 19. Tras explicar su contenido y que nació
para facilitar desplazamientos, entre países de la UE, conocido coloquialmente como
“pasaporte COVID”, indica que ”su uso puede facilitar el acceso a servicios más allá de la
posibilidad de viajar” y prefiere denominarlo ”certificado COVID”, como gráficamente
muestra en una tabla-gráfico 1,sobre acceso a determinados lugares y eventos en la UE,
y explica por ejemplo, la implantación en Bélgica del ”COVID SAFE TICKET” para
acceder a eventos donde asisten más de 5.000 personas (aprobado por las autoridades
Belgas según se desprende del link que conecta) El gráfico titula ”ámbitos donde se
solicita el certificado COVID o equivalente en otros países de Europa” por tipo de
actividad y coincide que en los acontecimientos en espacios exteriores así como en los
interiores (sin indicar capacidad), se exige en los 10 países que cita, procediendo la
fuente del Gobierno escocés. También explica que, en algunos países, en algunos casos
”se requiere el certificado de vacunación o la obligatoriedad de la vacunación, siendo
estas iniciativas efectivas para incrementar la cobertura de la vacunación”. Menciona que
en la actualidad se exige para acceder al interior de determinados establecimientos,
”para los que se requiere mostrar el certificado, aunque no está permitido recoger datos
de los asistentes”
Explica las razones para considerar la extensión del certificado COVID en Cataluña,
diferenciando las actividades esenciales en las que ”es razonable facilitar sin
impedimentos las actividades-laborales, educativas-de las no esenciales. Añade que, si
bien la discriminación en el acceso supone la limitación de un derecho individual, es
consecuencia de la opción de no vacunarse, esta limitación en determinados espacios se
produce para garantizar el derecho a la protección de la salud de los otros y las personas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/96
que no aporten los documentos no podrán acceder, añadiendo que solo se ha de
presentar, no se pueden hacer ficheros. ”El certificado COVID se perfila como la medida
más eficiente para evitar el cierre o limitación horario de los servicios no esenciales.
Comporta beneficios y no tiene ningún riesgo potencial para la salud individual o de la
población”
Este documento pretendía recabar el criterio técnico del citado Consejo respecto a
cuándo y en qué ámbitos conviene extender el certificado COVID sobre la base de datos
e indicadores, y sirvió de base para la emisión de la resolución de 7/12 del Departamento
de Salud SLT/3652/2021. En esta resolución, se indica un sistema de cuatro franjas de
riesgo para actuar como alerta de un posible e incremento de casos y servir para activar y
desactivar el requerimiento del certificado COVID 19 en Cataluña, conteniendo también
criterios y propuestas para determinar en qué ámbitos hay que considerar la extensión
del certificado COVID en cada franja de riesgo. Cita los entornos de elevado riesgo
epidemiológico (especialmente en ambientes cerrados donde puede haber retirada de
mascarilla y/o donde no se puede mantener la distancia mínima de seguridad), o la
minimización del riesgo de contagio en caso de personas que presentan un riesgo alto de
complicaciones graves. Reconoce que “Aunque el certificado COVID no garantiza
totalmente que una persona no sea infecciosa y no sustituye otras medidas no
farmacológicas, sí que reduce la probabilidad de contagio significativamente. Por otra
parte, en consideración al bien común en un contexto de recursos limitados del sistema
sanitario señala que se configura como un mecanismo para evitar la sobrecarga de la
atención primaria y hospitalaria”.
De acuerdo con las propuestas del Comité Científico Asesor, el informe del director de la
Agencia de Salud Pública de Cataluña prioriza mantener la exigencia del certificado
COVID para el acceso a aquellas actividades no esenciales que se desarrollan en
espacios cerrados de riesgo más elevado por las condiciones de transmisión principal del
virus por aerosoles y donde hay más vulnerabilidad y, por lo tanto, más necesidad de
protección.
Estas son: actividades recreativas musicales tanto ordinarias (ocio nocturno) como
extraordinarias (festivales de música, conciertos en fiestas mayores, populares, verbenas
y otros acontecimientos culturales de pie y posibilidad de baile), sector hotelero y de
restauración donde se ofrecen actos sociales con actividad de baile; locales y
establecimientos de restauración, y salas y gimnasios donde se hace actividad física y/o
deportiva. Para más seguridad jurídica se especifica que el concepto de espacios
cerrados se corresponde, a estos efectos, con los espacios interiores y los espacios
exteriores que están cubiertos y rodeados lateralmente por más de dos paredes, muros o
paramentos.
“En todas estas actividades se establece la capa de protección sanitaria que supone
como requisito de acceso la presentación del certificado emitido por un servicio público
de salud que acredite alguna de las circunstancias siguientes: que se dispone de la pauta
vacunal completa contra la COVID-19, que se dispone de una prueba diagnóstica
negativa COVID-19 ─PCR o test de antígenos─ con una vigencia determinada, o que se
ha recuperado de la enfermedad en los últimos seis meses (certificado COVID). Quedan
exoneradas de la condición de presentar el certificado COVID las personas menores de
13 años que no tengan limitado, en razón de la edad, el acceso a los locales,
establecimientos, equipamientos o espacios correspondientes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/96
La medida del certificado COVID, adoptada bajo la cobertura jurídica de la Ley orgánica
3/1986, de 14 de abril, de medidas especiales en materia de salud pública, en coherencia
con las otras leyes sanitarias, supone una afectación de los derechos fundamentales a la
igualdad (artículo 14 CE) y a la intimidad (artículo 18 CE) de carácter tenue, en los
términos de la Sentencia 1112/2021, de 14 de septiembre, de la Sala de lo Contencioso
Administrativo del Tribunal Supremo, confrontados con la potente presencia de los
derechos fundamentales a la vida y la integridad física (artículo 15 CE) y con la
protección de la salud (artículo 43 CE), que defiende el interés general de todos en
sobrevivir a la COVID-19. La Sentencia mencionada también ha establecido los
parámetros que la medida, en tanto que afecta derechos fundamentales, tiene que
cumplir para poder superar, sujeta a la garantía de control judicial, el juicio de
proporcionalidad en su triple vertiente: idoneidad, necesidad y proporcionalidad de
la medida.”
También el citado informe defiende que el uso del certificado COVID debe extenderse a
más ámbitos de los exigidos hasta aquel momento, considerándolo:
- una medida idónea:” El certificado COVID se plantea como una medida para
convivir con la COVID-19 y reducir el riesgo de transmisión en entornos de elevado
riesgo epidemiológico (especialmente en ambientes cerrados donde puede haber retirada
de mascarilla y/donde no se puede mantener la distancia mínima de seguridad)” La
reclamada considera que el ámbito del MWC22 con el grado de participación reseñado
era un entorno de este tipo, y deduce que la exigencia del certificado COVID era idónea.
-una medida proporcional, considerando que “se trata de una medida el
temporal proporcional y equilibrada para compatibilizar la protección de la salud pública
con la realización de determinadas actividades y evitar así el cierre de servicios no
esenciales.
-Es una medida no discriminatoria por cuanto el veto de acceso de la persona
que no lo presenta, aunque supone una limitación a un derecho individual, se produce
para garantizar el derecho a la protección de la salud del resto
El documento del CCAC de 18/11/2021, (que no las resoluciones de las autoridades
sanitarias dictadas) prevé establecer la necesidad de exigir (pedir) el certificado COVID-
19 para congresos de más de 500 personas y en cualquier evento que reúna a más de
10.000, recogiendo en el documento la referencia a los fenómenos de super contagio en
espacios interiores y también donde en grandes eventos al aire libre con una gran
concentración de personas y no se podía asegurar la distancia de seguridad interpersonal
mínima. Aporta un cuadro de en qué para grandes acontecimientos como, por ejemplo,
congresos, en el interior con asistencia de más de 500 personas, se solicitaría, o en
recintos de cualquier tipo con capacidad superior a 10.000 personas, ejemplo, estadio de
fútbol del Camp Nou.
-Otro documento, como el de “preparación y respuesta ante la variante
Ómicron del Coronavirus SARS-CoV-2 en Cataluña”, de 19/12/2021, que se tuvo en
cuenta en la resolución de 23/12 SLT 3787/2021, siendo el escenario de esta el de
“riesgo muy alto”, y que significaba:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/96
“Los datos preliminares generados por diferentes laboratorios confirman la preocupante
resistencia en anticuerpos de la variante ómicron. En principio, la infección previa o los
regímenes iniciales de vacuna no parecen suficientes para garantizar una respuesta
neutralizante suficiente contra Ómicron, mientras que las terceras dosis tienen un
impacto positivo de aumentar los títulos de anticuerpos neutralizantes. Se sugiere (por
los datos de la evidencia científica disponible) una más que posible reducción de la
efectividad de las diferentes vacunas contra la infección ”“el impacto epidemiológico de
esta variante a corto, como a medio y largo plazo, será muy importante. Los resultados
de simulación de posibles escenarios muestran que se espera un incremento de la
incidencia en que, en ausencia de medidas adicionales, podría conducir a más de 50.000
casos diarios a mediados de febrero de 2022”.
Señala la reclamada que, en consecuencia, los informes del CCAC vienen a confirmar
que la exigencia del certificado COVID 19 para el acceso al recinto se configura como
una medida exigida por la legislación en materia de salud pública y las resoluciones
aprobadas por el departamento de Salut.
Detalla la carga y el volumen de trabajo que conllevó la validación por medios
electrónicos de las tres modalidades para acceder al evento por los asistentes por parte
de QP (no señala aspecto alguno sobre los empleados de los proveedores) que además,
provenían de distintas nacionalidades, como por ejemplo que la vacuna constara como
autorizada, el certificado emitido por la autoridad competente, la validez del certificado de
vacunación, las fechas desde las que era válido el certificado de recuperación de COVID
19. Aporta un cuadro de volumen de informes tramitados en días previos, del 21/02/2022
a 2/03/2022, y reitera que la única forma de cumplir las medidas sanitarias debidas y
obligadas por las autoridades sanitarias y mantener la distancia mínima era la
presentación previa de estos certificados por medios electrónicos.
Como conclusión estima que no ha incumplido el art 9.2 RGPD por que el tratamiento de
datos de salud, los certificados COVID 19 se encontraban amparados en las excepciones
en el artículo 9.2.g) e i) del RGPD, por cuanto era necesario por razones de un “interés
público esencial”, y por” razones de interés público” en el ámbito de la salud pública.
Asimismo, el tratamiento de datos personales efectuado por GSMA se llevó a cabo en
cumplimiento de las obligaciones legales impuestas por la legislación de salud pública y
las medidas aplicadas por las autoridades sanitarias.
7-En caso de que se fuera a sancionar, solicita que se imponga la sanción en su grado
mínimo para las infracciones del artículo 6 y 9, considerando las circunstancias
concurrentes y el principio de proporcionalidad.
DÉCIMO: Segunda ampliación de alegaciones, de fecha 21/11/2023
Con fecha 21/11/2023, se reciben otras alegaciones.
Manifiesta la reclamada que la documentación que ahora aporta junto con la que ya obra
que le precede, ratifica su tesis de que no se ha vulnerado el artículo 9.2 ni 6.1 del
RGPD, y que las medidas aplicadas fueron acordadas y autorizadas de forma coordinada
con FIRA y las autoridades sanitarias en cumplimiento de la legislación en materia de
salud pública y prevención COVID 19.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
31/96
Aporta una carta de FIRA DE BARCELONA, de 31/10/2023, contratista y encargada de
tratamiento de la reclamada que se envió para solicitar confirmación sobre el proceso que
llevaron a cabo en el marco de la celebración del MWC 2022 en condiciones de
seguridad sanitaria, pasando a relatar en la misma el contexto explicativo, siguiente:
-“Teniendo en cuenta la experiencia llevada a cabo en el año 2021, se acordó crear un
grupo de trabajo compuesto por profesionales de la Agencia de Salud Pública de
Cataluña, FIRA DE BARCELONA y GSMA”, para “establecer e implementar un Plan
sanitario ad-hoc, que mitigase el riesgo de generación de un brote epidémico en el
entorno del desarrollo dentro del recinto ferial”.
-“Se va a tomar el precedente de éxito del Plan Sanitario definido y ejecutado del
MWC21”, que tenía como pilar fundamental la realización de test de antígenos rápidos
como paso previo a la autorización de acceso de los visitantes al recinto ferial.
-Explica el entorno en el que se iba a desarrollar el MWC 22 y los previos preparativos,
considerando la “propuesta de considerar el uso del certificado COVID en otros ámbitos
en Cataluña”, del CCAC de 18/11/2021, ante una situación de alerta en fase 4 y la
envergadura del acontecimiento junto a la variación de las condiciones epidemiológicas.
-Reitera que una resolución entre las varias emitidas, exigía presentación de certificado
COVID en ciertas actividades como requisitos de acceso,” hasta el 26/01/2022.”
-“FIRA y GSMA en coordinación en diversas reuniones con la dirección y el equipo de
salud Pública de la Agencia de Salud Pública de Cataluña de la Generalitat de Cataluña,
va a seguir lo que recomendaba el CCAC y la situación de continuidad de exigir el
certificado COVID en otros países europeos tal y como decía el mismo CCAC en su
informe de 21/01/2022”.
-“Por todo lo anterior, es por lo que desde la dirección de la Agencia de Salud Pública de
Cataluña de la Generalitat de Cataluña, se comunicó a los organizadores del MWC22 su
conformidad con el “Plan de mitigación” que proponíamos, considerando la evidencia
científica, la exigencia del certificado de vacunación contra la COVID 19, y en caso de no
tenerlo, la realización de TAR realizadas por un partner sanitario como paso previo a la
autorización del acceso de los visitantes y del staff al recinto ferial.”
Finaliza con:” Esperando su confirmación de que así ha sido como se ha actuado, o en
caso contrario, sus comentarios o puntualizaciones.
A la carta, le responde un correo electrónico de 7/11/2023, con el pie de firma del
Subdirector General de Coordinación de Salud Púbica, Secretaría de la Salud Publica,
según la reclamada de la que depende la ASPC, que indica:” en relación con la carta
recibida sobre el proceso seguido de medidas de control de COVID en el MWC celebrado
del 28/02/2022 al 3/03/2022, ”te confirmo estar de acuerdo con el contenido expresado
en dicha carta”. De acuerdo con lo manifestado por la reclamada, este Subdirector
desempañaba el cargo durante los meses de preparación del MWC22.
Explica la reclamada el papel de la Agencia de Salud Pública Catalana, teniendo su
Director condición de autoridad pública sanitaria (art 5 Ley 18/2009) competente para
decidir y proponer las medidas y restricciones a adoptar en cuanto al control de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
32/96
pandemia. Y que la, ASPC tiene, entre otras, las funciones de emitir informe previo y
preceptivo a las resoluciones que dictaba el Departament de Salut quincenalmente en
aspectos asistenciales y en aspectos epidemiológicos y de salud pública con objeto de
acreditar la situación actualizada de riesgo de contagio, la situación de control de la
pandemia, y la suficiencia de las medidas y propuesta de medidas a adoptar ( art 55 bis
Ley 18/2009).
Reitera la reclamada que las medidas fueron acordadas por GSMA de forma coordinada
con las autoridades sanitarias en un nivel declarado de riesgo muy alto por resolución de
23/12/2021, SLT/3787/2021 de 23/12.
Señala la reclamada que, dentro del grupo de trabajo compuesto por la ASPCAT, FIRA y
GSMA, para la celebración del MWC de 2022, propusieron a la ASPC ”la exigencia por
medios telemáticos de certificados COVD 19 para cualquier persona que pretendiera
acceder al recinto de FIRA durante la preparación y celebración del MWC 222, que contó
con la conformidad de la ASPCAT, de acuerdo con la respuesta a la carta de FIRA”,
precisando:
“Es por todo lo anterior que desde la dirección de la Agencia de Salud Pública de
Cataluña de la Generalitat de Catalunya se comunicó a los organizadores del MWC22 su
conformidad con el Plan de mitigación propuesto”, en 17 reuniones de trabajo desde
octubre 21 hasta febrero 22. La ASPCAT era la autoridad sanitaria competente para
proponer las medidas y restricciones a adoptar por el Departament de Salut en aras al
control de la pandemia.”
“Las autoridades sanitarias y FIRA validaron y autorizaron tanto la exigencia obligatoria
de certificados COVID 19 para la entrada al recinto de FIRA, así como la aportación y
gestión de dichos datos por medios telemáticos, como única solución viable atendiendo
las exigencias legales en materia de salud pública”.
Finaliza indicando que esta documentación ratifica que ha actuado en el marco del
cumplimiento de las obligaciones legales en materia de salud pública, con la
improcedencia de las infracciones de los artículo 9.2 y 6.1 del RGPD, reiterando que el
tratamiento de los datos de salud, es decir, los certificados COVID-19 se encontraban
amparado en las excepciones previstas en el art. 9.2.g) e i) del RGPD por cuanto era
necesario por razones de “un interés público esencial” y “por razones de interés público
en el ámbito de la salud pública”.
DÉCIMOPRIMERO: Emisión de propuesta de resolución de 12/03/2024.
Con fecha 12/03/2024, se emitió propuesta de resolución con el literal:
“Que por la Directora de la Agencia Española de Protección de Datos se sancione con
multa administrativa a GSMA LIMITED, con NIF N4004237F, por las siguientes
infracciones del RGPD:
-una infracción del artículo 9.2 del RGPD de conformidad con el artículo 83.5.a) del
RGPD, y a efectos de prescripción, calificada como muy grave en el artículo 72.1.e) de la
LOPDGDD, con una multa de 300.000 euros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
33/96
-una infracción del artículo 6.1 del RGPD, de conformidad con el artículo 83.5.a) del
RGPD, y a efectos de prescripción, calificada como muy grave en el artículo 72.1.b) de la
LOPDGDD, con una multa de 200.000 euros.
-una infracción del artículo 14 del RGPD, de conformidad con el artículo 83.5.b) del
RGPD, y a efectos de prescripción, calificada como muy grave en el artículo 72.1.h) de la
LOPDGDD, con una multa de 100.000 euros.”
Con fecha 20/03/2024, se solicitó la ampliación de plazo para realizar alegaciones, que
fue concedido.
DÉCIMOSEGUNDO: Alegaciones a la propuesta de resolución presentadas el 8/04/2024.
Con fecha 8/04/2024, se presentan por la reclamada las alegaciones siguientes:
1-Manifiesta que el documento 4 aportado en sus alegaciones, contiene en realidad dos
contratos, uno el PRINCIPAL y otro el de SUBENCARGADO de tratamiento, y que el
primero contenía elementos más amplios que el de subencargado.
Afirma que el contrato de subencargado de tratamiento se limitaba a la validación
administrativa de la documentación sanitaria relacionada con la COVID, aportada por los
visitantes y “trabajadores “ del MWC 22, “con el fin de otorgarles la condición de apto o
no para el acceso y para trabajar en él, antes, durante y después la celebración del
evento”.
En base a ello, como nueva alegación no efectuada anteriormente, señala que “los
servicios previstos en el contrato principal y no contemplados en el contrato de
subencargado del tratamiento”, incluían:
-“Validación médica o sanitaria de los certificados COVID por parte de personal médico o
sanitario de QUIRÓNPREVENCIÓN.”
“Asumiendo la decisión y el riesgo médico de declarar APTO para entrar a trabajar en el
recinto ferial a una persona que podía estar contagiada de Covid. Ni GSMA Ltd. ni FIRA
estaban habilitados para tomar esta decisión al carecer de personal médico o sanitario.”
- “Contacto y reconocimiento médico del trabajador o del visitante en el caso de que
fuese necesario”.
-“Servicio de atención hospitalaria (24/7) a través de la red de centros de Quirón Salud
para todos los participantes en el MWC22.”
-“Realización, en su caso, de tests de antígenos por parte de personal sanitario.”
Con respecto a ellos, señala que ha de entenderse que corresponden a prestación de
servicios médicos o sanitarios que estos prestan como responsables del tratamiento,
porque:
-Hay un tratamiento directo con el interesado,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
34/96
-Estos servicios médicos, como sus profesionales, tienen una obligación legal y
deontológica de independencia, relación directa con el paciente, responsabilidad médica,
gestión y conservación de las historias clínicas, gestión y conservación de datos de salud,
que les obliga a ser responsables tanto de las decisiones medicas como de los
tratamientos realizados, y así se recoge en el Código de Deontología Médica del Consejo
General de Colegios Oficiales de Médicos de España.
2- Manifiesta además que como en el contrato “principal” establecía en el apartado
“manifestaciones”, que “no se impedía que las partes pudieran alcanzar acuerdos en
cuanto a aspectos no contemplados en la oferta, o incorporar o modificar a instancias de
su organizador cualquier aspecto del servicio siempre que fuera razonables ”,
QUIRONPREVENCIÓN efectuó servicios relacionados con el apoyo a la coordinación de
actividades empresariales, que perseguían como fin último la prevención de riesgos
laborales, basados en considerar apto o no apto a cada uno de los trabajadores que
prestaron sus servicios en el MWC 22, y que “en la práctica, los servicios de validación
médica o sanitaria de los documentos aportados por los visitantes, se extendieron
también a los trabajadores que prestaron sus servicios en el recinto ferial donde se
desarrollaría el MWC22”, “teniendo en cuenta que los visitantes suponían un riesgo
biológico para los trabajadores y el lugar de trabajo”. Señala que todos estos servicios no
estaban incluidos en el contrato de subencargado de tratamiento.
Manifiesta que dada la cantidad de países que visitarían el evento y que la gran mayoría
de expositores representados en el evento contratan a sus propios trabajadores “en su
país de origen o a través de agencias especializadas”, concurriendo “miles de
trabajadores procedentes de países de todo el mundo, muchos considerados de alto o
muy alto riesgo” por las autoridades sanitarias españolas, y dado el perfil de los
trabajadores, “resistentes a seguir un protocolo de seguridad”, “exigió la aplicación de un
protocolo sancionador que asegurase la normativa de salud que incluyó la expulsión del
recinto a los trabajadores que incumplían la normativa”. Indica que los trabajadores que
prestaron sus servicios para el montaje, incluyendo la prestación de sus servicios para los
expositores, “iban a quedar expuestos a una amenaza de riesgo biológico evidente”, y
que “Las obligaciones legales de los empleadores en materia de prevención de riesgos
laborales derivadas de riesgo biológico están previstas en el Real Decreto 664/1997 de
12/05 sobre la protección de los trabajadores contra los riesgos relacionados con la
exposición a agentes biológicos durante el trabajo”.
Añade que “se solicitó ayuda a las autoridades de inmigración y se acordó aplicar las
mismas medidas impuestas en la frontera, sobre todo en aeropuertos gestionados por
AENA, en los que QUIRONPREVENCIÓN prestaba este mismo servicio”, y que: “para
determinar las medidas sanitarias y reducir el riesgo bilógico se consultaron con diversas
autoridades”, elaborándose unas “directrices de seguridad y salud” y unas FAQ, que la
reclamada publicó en su página y entregó a sus expositores y sus proveedores.
La url que indica que lleva a dicho contenido ***URL.3, es una nota informativa para
acceder al MWC22, indicando por ejemplo que “antes de viajar consulte los protocolos
vigentes para ingresar en España”, y se detalla que para acceder a FIRA, todos los
asistentes, incluido personal y expositores, deberán acreditar: vacunación contra el
Covid-19, certificado de recuperación válido, o prueba diagnóstica negativa (se acepta
PCR o test rápido de antígenos).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
35/96
“Los documentos que demuestren el estado de Covid-19 deben enviarse a través de la
aplicación oficial del MWC22 o la página de registro en el sitio web de la conferencia.
Luego, estos serán revisados por el socio médico del evento, Quironprevención; si hay
algún problema con algo enviado, la compañía de atención médica se comunicará con la
persona por correo electrónico.
Una vez que se haya aceptado la prueba, se activará una credencial de entrada digital y
los asistentes recibirán una confirmación por mensaje de texto.
Quienes realicen una prueba de acceso deberán realizar una cada 72 horas. Cada
resultado sólo es válido si el período de 72 horas posteriores a la realización de la prueba
cubre todo el día del evento. Si vence durante el día, se le negará la entrada al individuo.
La aplicación notificará con antelación a los delegados cuyos certificados de entrada
caduquen y la fecha de caducidad se mostrará en las credenciales digitales de los
asistentes.
Aquellos que utilicen el estado de vacunación completa para ingresar deben haber
recibido su dosis final al menos 15 días antes del evento. Los certificados de vacunación
y los documentos de prueba de recuperación aprobados son válidos para todo el evento.
No habrá pruebas disponibles en el sitio.
Además de la prueba del estado de Covid-19, los asistentes deberán enviar un
cuestionario de salud diario y una declaración en la aplicación.
En la sección de FAQ se menciona el Plan de GSMA de Seguridad y Salud de
Comunidad Comprometida y entre otra información, solo referida a los asistentes.
Se indica que “si vas a volar a Barcelona verifica con tu compañía los requerimientos
para el COVID-19 para comprender las especificidades para la salud y medidas de
seguridad”.
“Para información en general sobre la seguridad y la salud puedes visitar la website del
Ministerio de España de Sanidad”
Se reitera que para acceder al recinto los visitantes una vez registrados, han de validar
sus vacunas, sus test de recuperación de la enfermedad, válidos para toda la duración
del evento, o realizarse test válidos para 72 horas, y completar una declaración de salud
diaria en cualquiera de los tres supuestos. también se informa que la validación la realiza
un asociado médico.
3-Indica que QUIRONPREVENCIÓN actuó como partner para los empleados de
“cualquier proveedor, incluyendo los de más de 1.500 expositores así como los
proveedores que prestaron sus servicios a GSMA, FIRA y a sus expositores”, y que en la
práctica “realizó también la validación médica o sanitaria de los documentos aportados
por los trabajadores de los distintos empleadores concurrentes en el recinto ferial y de
apoyo a la coordinación de actividades empresariales y a la prevención de riesgos
laborales con el objetivo de proteger a los aproximadamente 10.000 trabajadores activos
en el recinto del riesgo biológico derivado del COVID”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
36/96
“La actuación de QUIRONPREVENCIÓN como apoyo en la coordinación de actividades
empresariales y la prevención de riesgos laborales estaba regulada por la normativa de
riesgos laborales y la normativa específica que regula la coordinación de actividades
empresariales
En este tipo de servicios QUIRONPREVENCIÓN si los trabajadores eran aptos o no
aptos para trabajar en el recinto ferial
El carácter efímero del MWC, así como la precisa regulación de la coordinación de
actividades empresariales en el artículo 24 de la ley de prevención de riesgos laborales
hacen que sean desproporcionadas las medidas consistentes en dotar de un marco
contractual especial a este servicio siendo aplicable la normativa que regula su
actividad.”
QUIRONPREVENCIÓN dispone de plataformas para la gestión de empresas que
contratan sus servicios y de sus proveedores que puede obedecer a finalidades de
coordinación de actividades empresariales, regulado por el artículo 24 de la Ley de
prevención de riesgos laborales y el RD 171/2004 de 30/01 que desarrolla dicho artículo,
reiterando que incluye la prestación de validación médica o sanitaria de los documentos
entregados por los trabajadores de las empresas clientes por parte de los equipos
sanitarios con obligación de secreto profesional, a los que se aplica la Ley General de
Sanidad y la Ley de Autonomía del Paciente, así como la normativa de servicios de
prevención de riesgos laborales, que establece obligaciones para el personal sanitario
que prevalecen sobre los contratos que QUIRONPREVENCIÓN pueda tener con
empresas clientes en tanto que derivan directamente de la Ley.
“Se trata de actividad sanitaria asociada a obligaciones legales que establecen una
relación directa entre QUIRONPREVENCIÓN y el trabajador de la empresa cliente o de
sus proveedores, realizando los profesionales sanitarios los análisis de la documentación
facilitada por el trabajador y llegan a la conclusión de si es apto o no apto para el trabajo,
siendo esta conclusión la única información que suministra a sus clientes.”
Subraya que el anexo VI del contrato, por el que se rige también el mismo, titulado
“contrato encargado de tratamiento” “no se aplicó en la práctica ya que toda la
documentación COVID fue entregada por los asistentes y trabajadores a
QUIRONPREVENCIÓN a través de su plataforma, de acuerdo con lo que se señala en el
ANEXO 1B”, también del contrato que lleva por título: “integración de sistemas”, en el que
se establece que “El proveedor, QUIRONPREVENCIÓN, contará con un sistema de
información necesaria para la gestión de los tests COVID,”, detallando las
funcionalidades, según se tratara de:
- “Convalidación de resultados de pruebas”, “web para envíos de tests previos”
que se concreta en que QP “pondrá a disposición del evento una web- no de FIRA ni de
GSMA- mediante la cual el visitante podrá indicar sus datos y subir un documento o foto
de un resultado PCR/antígenos o cartilla de vacunación/recuperación realizada
previamente.
Dicha web será llamada a través de un parámetro con el identificador del
participante. QUIRONPREVENCIÓN utilizará el identificador para llamar a la API que
proveerá FIRA y extraer los datos de la acreditación del visitante/contractor, y así
comprobar que se trata de un participante del evento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
37/96
Al recibir un documento y al ser validado/rechazado un registro se comunicará a FIRA
mediante la API que habilitará FIRA” pero no los documentos en sí.
“El envío de un correo electrónico al interesado directamente por parte de
QUIRONPREVENCIÓN y no de FIRA o de GSMA sobre la validación o rechazo de los
documentos aportados.”
En el apartado “chequeo de resultados y estados de verificación”, se indica que “QP
habilitará una funcionalidad en sus sistemas que permitirá a un usuario de FIRA realizar
una búsqueda de un acreditado y comprobar si dispone de un test negativo válido o si un
test previo ha sido validado”
5- Manifiesta que el papel efectuado por QUIRONPREVENCIÓN fue el de coordinador de
actividades empresariales al hablar de los tratamientos de datos vinculados con la
prevención de riesgos laborales, como por ejemplo la comunicación de datos que sea
necesaria para cumplir las obligaciones de coordinación cuando en un mismo centro de
trabajo desarrollen su actividad personas trabajadoras de varias empresas, en los
términos del artículo 24 de la Ley de Prevención de riesgos Laborales (LPRL). En las
fases de montaje del evento, hubo una concurrencia de empresas con personas
trabajadoras que compartían el mismo centro de trabajo. QUIRONPREVENCIÓN como
socio médico exclusivo del MWC 22, realizó esa función de coordinación de actividades
empresariales, contribuyendo a que el recinto fuera un espacio seguro de trabajo
efectuando la validación médica del estado de salud de los asistentes y de los
trabajadores, y la comunicación de conclusiones se limitó a indicar si la persona
trabajadora examinada era apta o no apta para el trabajo en el recinto ferial.
6-Manifiesta ahora, que también, la base jurídica del tratamiento de los datos de salud
que se trataron antes, durante y después del evento, referidas al montaje de las
instalaciones para la celebración del evento, realizadas por los empleados de los
proveedores de GSMA, fue el cumplimiento de obligaciones legales en materia de
prevención de riesgos laborales.
“La vigilancia de la salud es obligatoria conforme al título 22.1 de la ley prevención de
riesgos laborales en los siguientes supuestos que estaban presentes en la celebración
del Barcelona MWC 22:
-Verificación de si el estado de salud de la persona trabajadora puede constituir un
peligro para ella misma, para las demás personas trabajadoras o para otras relacionadas
con la empresa
-Obligación legal en relación con la protección de riesgos específicos, como es el caso
del riesgo biológico producido por el virus COVID.”
La normativa de prevención de riesgos laborales ofrece una doble legitimación para
solicitar datos de salud a los visitantes y a los trabajadores que prestan servicios en el
recinto ferial:
“1-Otorga a la empresa y especialmente a su servicio de prevención interno y
externo la potestad de decidir las medidas más apropiadas para cumplir la obligación de
que el centro de trabajo sea un lugar seguro para trabajar. Esta obligación está
reconocida en las guías de la AEPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
38/96
2-Contempla el supuesto específico del riesgo biológico en el que expresamente
se prevé la verificación del Estado de salud del trabajador y de los visitantes al puesto de
trabajo para confirmar que no supone una amenaza para el resto de los trabajadores.
Esta obligación se reconocen las guías de la AEPD
En el caso del Barcelona MWC 22 estas decisiones se adoptaron en el momento de la
adopción de las medidas sanitarias aplicables en colaboración con las autoridades
sanitarias”
Señala en el documento titulado sobre el coronavirus elaborado por la AEPD que, en
aplicación de la normativa sanitaria laboral de prevención de riesgos laborales, los
empleadores podrán tratar, de acuerdo con dicha normativa y con las garantías que
establecen, los datos del personal necesarios para garantizar su salud y adoptar las
medidas necesarias por las autoridades competentes.
7- Como nueva alegación efectuada en este trámite señala que el tratamiento de los
datos de salud de los visitantes, los trabajadores de los expositores, los trabajadores de
los proveedores y los trabajadores de la organización eran necesarios para fines de
Medicina preventiva o laboral evaluación de la capacidad laboral del trabajador y
diagnóstico médico de acuerdo con el artículo 9.2 h del RGPD”.
8-En cuanto a la obligación de informar a los interesados, infracción del artículo 14, sería
la aplicación el 14.5 del RGPD, pues la amplia difusión de las medidas que se iban a
aplicar para prevenir la difusión del COVID permite aceptar y afirmar que el interesado
disponía de la información relativa de los datos que se le iban a solicitar, así como las
diferentes recopilaciones de noticias de prensa y dossiers aparecieron en los medios de
comunicación.
9-Manifiesta que ha acreditado que no concurre culpabilidad ni falta de diligencia
imprescindibles para ser sancionada.
10-Manifiesta que se ha vulnerado el derecho a la prueba puesto que en sus alegaciones
indicaban que, de no archivarse, se procediera a la apertura de un periodo de prueba
afirmando ahora que se propondrían pruebas testificales de agentes relevantes
implicados en la organización, como diferentes autoridades públicas y existe obligación
de abrir dicho periodo de prueba.
HECHOS PROBADOS
PRIMERO: La reclamada, GSMA LIMITED, es una Compañía de la industria de la
telefonía móvil que agrupa como miembros a más de 750 operadores y más de 400
Compañías, siendo la entidad organizadora cada año en Barcelona desde 2006, del
congreso mundial de Móviles,” MOBILE WORLD CONGRESS (MWC)“. El que tuvo lugar
en el año 2022, se celebró para el público asistente, entre el 28/02/2022 y el 3/03/2022.
En el año 2020, debido a la extensión del brote de coronavirus, fue cancelado
SEGUNDO: Para la celebración del MWC 2022, la reclamada, instauró un sistema de
acceso para empleados de proveedores que realizan trabajos de montaje de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
39/96
instalaciones durante la celebración del Congreso, que requería el registro de datos en
una “plataforma de pase digital” titularidad de la reclamada.
El recinto donde se celebra el MWC es denominado FIRA Gran Vía por estar situado en
esta calle y ser titularidad del consorcio FIRA DE BARCELONA (en adelante FIRA).
Las instrucciones de la reclamada para el acceso a las instalaciones del MWC 2022 de
los empleados de los proveedores para el montaje de las instalaciones donde se
celebraría el evento, suponían la recogida y tratamiento de datos de la COVID 19, que
gestionaría QUIRON PREVENCION SLU (QUIRONPREVENCIÓN) como subencargada
de tratamiento de FIRA, encargada del tratamiento por cuenta de la reclamada.
TERCERO: De acuerdo con los correos electrónicos de 20 y 21/01/2022 aportados por el
reclamante, FIRA DE BARCELONA emite instrucciones para el acceso a las instalaciones
del MWC 22, (pase de acceso), informando del sistema que se va a exigir, desde el
23/01/2022 hasta el 8/03/2022, afectando entre otros, en este caso a los empleados de
los proveedores dedicados al montaje (stands) de las instalaciones.
El sistema se inicia con la creación de una cuenta por FIRA a cada proveedor, desde
donde autogestionará los pases con un responsable colaborador para los pases de todos
los empleados de cada proveedor. Una vez cargados los nombres en el sistema, cada
colaborador recibirá en su correo electrónico un link para completar el registro. Se indica
en el correo electrónico de 20/01/2022, que cuando inicien sesión por primera vez
“vuestros trabajadores tendrán que crear una contraseña. Una vez hecho esto, deberán
subir al sistema uno de los siguientes documentos:
-certificado de vacunación de la COVID-19 (pauta completa), o
-certificado de recuperación de la COVID-19, o
-prueba negativa de un test válido de la COVID-19 (test de antígeno negativo realizado
en las últimas 72 horas en cualquiera de los periodos-montaje, celebración, desmontaje.”
Además, se informa que estos documentos “se deberán subir en la web del sistema de
registro por parte de cada trabajador para su validación”.
También, se indica a los proveedores, que pueden ver fácilmente y generar informes de
los trabajadores que aún no han subido sus documentos, para hacer un seguimiento con
ellos.
CUARTO: FIRA INTERNACIONAL DE BARCELONA, con CIF Q-0873006-A, (FIRA)
titular de las instalaciones en las que se celebra el evento (DOCUMENTO 3 a) es, según
figura en su política de privacidad, una entidad de base asociativa consorcial de fomento,
integrada por la Generalitat de Catalunya, el Ayuntamiento de Barcelona y la Cámara
Oficial de Comercio, industria y navegación de Barcelona.
FIRA presta servicios para el MWC Barcelona del que la reclamada es organizadora.
FIRA ostenta en muchos casos, la condición de contratista de la reclamada para servicios
y suministros que se prestan en el marco del MWC.
GSMA LIMITED aporta copia de un contrato marco de 22/11/2019, DOCUMENTO 3 a,
suscrito con FIRA INTERNACIONAL DE BARCELONA para prestar servicios
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
40/96
relacionados con MWC Barcelona, según las diversas declaraciones de orden de trabajo
con vigencia desde 2020 hasta 2023. La reclamada acompaña en anexos las
descripciones donde se hacen constar los tipos de servicio de datos que se han de tratar
específicamente por FIRA y la finalidad del encargo del tratamiento de datos.
En alegaciones al acuerdo de inicio, se acredita la existencia de un contrato suscrito el
21/02/2022 por FIRA DE BARCELONA como encargado de la reclamada, con
QUIRONPREVENCIÓN SLU para el MWC 22, organizado por GSMA y que FIRA por
mandato de esta, coordina y gestiona con el proveedor designado por GSMA
(QUIRONPREVENCIÓN) para la prestación de servicios relativos a la validación de
certificados COVID. Entre otros servicios se incluye la integración y comunicación de
resultados y validación de los test certificados de vacunación. El contrato incluye una
parte con las cláusulas de encargado de tratamiento.
QUINTO: La reclamada ha manifestado que el procedimiento establecido para que los
trabajadores registren la documentación en la plataforma sería:
Paso 1. El proveedor registra a cada uno de sus trabajadores en la plataforma de GSMA.
Los datos que introduce, según la reclamada, figurando en su Evaluación de Impacto de
Protección de Datos, serian de cada empleado: correo electrónico, nombre y apellidos.
Además, sobre colectivos de interesados afectados, solo figura en el contrato de encargo
de tratamiento FIRA-QUIRONPREVENCIÓN, que la reclamada pone a disposición,
respecto de los “participantes”, los siguientes datos: “número de identificación
gubernamental: DNI,NIE-pasaporte), datos de contacto- número de teléfono”(1.3 del
contrato de encargo de tratamiento)
Paso 2. Una vez registrados, cada trabajador recibe un correo electrónico de
confirmación de GSMA con un link que facilita acceso a su cuenta en la plataforma de
QUIRONPREVENCIÓN.
Paso 3. Cada trabajador facilita directamente la Información COVID 19 a través de la
plataforma de QUIRONPREVENCIÓN.
Paso 4. Cada trabajador recibe de QUIRONPREVENCIÓN un correo electrónico de
confirmación/ rechazo para la finalización del proceso de registro en la plataforma de
GSMA.
“GSMA ES NOTIFICADA tanto si la persona está capacitada para acceder a la sede
como si no lo está.”
SEXTO: A la hora de explicar la base jurídica de legitimación del tratamiento de los datos
personales de los empleados de los proveedores, objeto de la reclamación, la reclamada
detalla que dada la situación de extensión de la epidemia que mostraban los indicadores,
comenzó a prever el escenario de la celebración del evento desde el otoño de 2021, y
debía prestar atención a las resoluciones sucesivas que establecían las medidas
temporales en materia de salud pública para la contención del brote epidémico de la
pandemia COVID 19 en el territorio de Cataluña (resoluciones de la autoridad sanitaria,
firmadas por el Consejero de Salud y por el Consejero de Interior) que solían tener una
vigencia de 14 días.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
41/96
La reclamada manifestó en el traslado de la reclamación, que el ***FECHA.1, disponía de
un Plan de Salud y Seguridad para el MWC22, remitiendo noticia en su web en la que se
informa que en ejecución de dicho Plan, reitera que “los asistentes” y “los trabajadores en
el recinto” deberán aportar alguna de la documentación médica que coincide con la
consignada en el hecho probado tercero, añadiendo”… la prueba de cumplimiento de los
protocolos se almacenará y mostrará en la aplicación oficial del evento.”
La reclamada no ha aportado la copia del citado PLAN, que manifiesta en su respuesta al
traslado de la reclamación, que fue aprobado en coordinación con autoridades sanitarias
catalanas y que la “requería a recoger datos personales como los que son objeto de la
reclamación”.
SÉPTIMO: La reclamada informa que la base que legitima el tratamiento de los datos de
los empleados de los proveedores que montaban las instalaciones para la celebración del
MWC 22 en las instalaciones donde se iba a celebrar, es el artículo 6.1.c), que legitima el
tratamiento cuando “es necesario ”“para el cumplimiento de una obligación legal aplicable
al responsable del tratamiento”, manifestando que esa norma legal es el Plan de Salud y
Seguridad para el MWC22, desarrollado en colaboración con las autoridades, que no ha
sido aportado en fase alguna del procedimiento, y las obligaciones legales impuestas por
la legislación de salud pública y las medidas adoptadas por las autoridades sanitarias.
También considera que el citado tratamiento estaría amparado, “si no se justificara por el
artículo 6.1.c) del RGPD”, por el artículo 6.1.d) del RGPD, por cuanto “es necesario
““para proteger intereses vitales del interesado o de otra persona física”, entendiendo la
situación como de emergencia, siendo necesario para fines humanitarios, incluido el
control de epidemias.
OCTAVO: En cuanto a la excepción a la prohibición de tratamiento de datos de salud que
la reclamada como responsable del tratamiento gestiona de los empleados de los
proveedores que realizan el montaje de las instalaciones, manifestó la reclamada en la
respuesta al traslado, solamente, que es aplicable el artículo 9.2.g) del RGPD, al
considerar que el tratamiento “es necesario por razones de un interés público esencial
sobre la base del derecho de la Unión o de los Estados miembros, que debe ser
proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de
datos y establecer medidas adecuadas y específicas para proteger los intereses y
derechos fundamentales del interesado”, sobre la base del citado Plan de Salud y
Seguridad para el MWC22 y por la Ley de Salud Pública 18/2009, de 22/10, aplicable al
ámbito territorial de Cataluña, que prevé la posibilidad de intervención administrativa en
protección de la salud y prevención de la enfermedad, tanto en ámbitos públicos como
privados.
Por otro lado, la reclamada manifestó que, desde octubre 2021 hasta finales de 2022 tuvo
reuniones con las autoridades sanitarias examinando la situación de la evolución de la
pandemia y fruto de ello, aporta el DOCUMENTO 6, requerimientos de salud para
acceder al MWC22 protocolo 1, de 27/01/2022, que es un gráfico que indica el proceso
en el que los montadores han de subir los datos COVID.
La reclamada, también ampara el levantamiento de la prohibición de tratamiento de datos
de salud de los empleados, en sus alegaciones al acuerdo de inicio, en el artículo 9.2.i)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
42/96
del RGPD (si bien no figura en la EIPD fechada el 22/04/2022); esto es:” tratamiento de
datos necesario por razones de interés público en el ámbito de la salud pública como la
protección de amenazas transfronterizas graves para la salud, sobre la base del derecho
de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas
para proteger los derechos y libertades del interesado, en particular el secreto
profesional”, al amparo, según manifiesta la reclamada, de las resoluciones del
Departament de Salut que adjuntó como DOCUMENTO 5,”por las que se establecen
medidas en materia de salud pública para la contención del brote epidémico de la
pandemia COVID 19 en el territorio de Cataluña”.
La reclamada reitera que se ha limitado a dar cumplimiento a la normativa en materia de
salud pública y a las medidas decretadas por las autoridades sanitarias, y además en el
marco del principio de prudencia que exige la legislación sanitaria.
NOVENO: El Plan de Salud y Seguridad para el MWC22 que se cita, presuntamente
negociado con las autoridades sanitarias, no ha sido aportado por la reclamada y se
desconoce su contenido y su fecha.
El MWC22 se celebró para asistentes del 28/02/2022 al 3/03/2022.Las instrucciones para
el acceso de los empleados de los proveedores a su puesto de trabajo, como el
reclamante, fueron de aplicación entre el 23/01/2022 y el 8/03/2022.
La reclamada ha aportado certificado emitido por la entidad QUIRONPREVENCIÓN, en
fecha 3/10/2023, en el que se facilita resumen relativo a los días previos al comienzo del
evento, así como de los primeros días de celebración, y aporta información sobre los
informes recibidos desde el 21/02/202 hasta el 02/03/2022 con un total de informes de
54.779.
DÉCIMO Las resoluciones de la autoridad sanitaria aplicable entre el 23/01/2022 y el
08/03/2022 fueron las siguientes:
RESOLUCIÓN SLT/99/2022, de 26/01, por la que se establecen las medidas en materia
de salud pública para la contención del brote epidémico de la pandemia de COVID-19 en
el territorio de Cataluña.
En esta resolución se levantan las medidas restrictivas de derechos fundamentales que
todavía estaban vigentes, eso es “la limitación de las reuniones y encuentros sociales a
un máximo de diez personas, la limitación en el aforo de las actividades religiosas, y el
requisito del certificado COVID para el acceso a determinadas actividades no esenciales
en espacios cerrados (restauración, salas de actividad física y/o deportiva, gimnasios y
actividades recreativas musicales permitidas: salas de concierto, cafés teatro, cafés
concierto y restaurantes musicales)”.
En el apartado 2.1”Medidas de protección individual y colectiva” se establece”(…) Tanto
en espacios cerrados como al aire libre, excepto para grupos de personas convivientes,
la distancia física interpersonal de seguridad se establece en 1,5 m, en general, con el
equivalente a un espacio de seguridad de 2,5 m2 por persona, a menos que sean
vigentes para la tipología de la actividad valores más restrictivos. Cuando el desarrollo de
la actividad no permita mantener la distancia física interpersonal de seguridad se tienen
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
43/96
que adoptar las medidas de higiene y organizativas adecuadas para prevenir los riesgos
de contagio.
En los espacios al aire libre en que por la aglomeración de personas no sea posible
mantener la distancia física interpersonal de seguridad, es obligatorio el uso de
mascarilla en los términos establecidos en el apartado 2.3 de esta Resolución”.
En cuanto a las “Medidas de prevención e higiene en centros de trabajo” en el punto 3.4,
apartado 2, se determina “Sin perjuicio del cumplimiento de la normativa de prevención
de riesgos laborales y del resto de normativa laboral aplicable, las personas titulares de
centros de trabajo, públicos y privados tienen que adoptar, en los centros de trabajo,
entre otras, las siguientes medidas:
a) Adoptar medidas organizativas en las condiciones de trabajo, de forma que se
garantice el mantenimiento de la distancia de seguridad interpersonal mínima. Y, cuando
esto no sea posible, tienen que proporcionarse a las personas trabajadoras los equipos
de protección adecuados al nivel del riesgo.
(…)”
RESOLUCIÓN SLT/177/2022, de 2/02, por la que se establecen las medidas en materia
de salud pública para la contención del brote epidémico de la pandemia de COVID-19 en
el territorio de Cataluña,
En relación con las “Medidas de protección individual y colectiva” indica en su punto 2.1
“1.(…) Tanto en espacios cerrados como al aire libre, excepto para grupos de personas
convivientes, la distancia de seguridad se establece en 1,5 metros, en general, con el
equivalente a un espacio de seguridad de 2,5 metros cuadrados por persona, a menos
que sean vigentes para la tipología de la actividad valores más restrictivos. Cuando el
desarrollo de la actividad no permita mantener la distancia de seguridad se tienen que
adoptar las medidas de higiene y organizativas adecuadas para prevenir los riesgos de
contagio.
2. El deber de protección establecido en el epígrafe 1 es igualmente exigible a las
personas titulares de cualquier actividad económica, empresarial o establecimiento de
uso público o que se encuentre abierto al público, en los términos de las normas
organizativas, de higiene y de prevención establecidas en esta Resolución y, en su caso,
del correspondiente plan sectorial o protocolo organizativo. (…)”
Añade en su punto 3.4: ”Medidas de prevención e higiene en centros de trabajo”
“(…)
“2. Sin perjuicio del cumplimiento de la normativa de prevención de riesgos laborales y
del resto de normativa laboral aplicable, las personas titulares de centros de trabajo,
públicos y privados tienen que adoptar, en los centros de trabajo, entre otras, las
siguientes medidas:
a) Adoptar medidas organizativas en las condiciones de trabajo, de forma que se
garantice el mantenimiento de la distancia de seguridad interpersonal mínima. Y, cuando
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
44/96
esto no sea posible, tienen que proporcionarse a las personas trabajadoras los equipos
de protección adecuados al nivel del riesgo.”
(…)”
RESOLUCIÓN SLT/254/2022, de 9/02, por la que se modifica la Resolución
SLT/177/2022, de 2 de febrero, por la que se establecen las medidas en materia de salud
pública para la contención del brote epidémico de la pandemia de COVID-19 en el
territorio de Cataluña
Igualmente recoge”2.1 Medidas de protección individual y colectiva
1. La ciudadanía debe adoptar las medidas necesarias para evitar la generación de
riesgos de propagación de la infección por el SARS-CoV-2, así como la misma
exposición a estos riesgos, y debe adoptar las medidas de protección individual y
colectiva fundamentadas en: la higiene frecuente de manos; la higiene de síntomas
respiratorios (evitar toser directamente al aire, taparse la boca con la cara interna del
antebrazo en estos casos y evitar tocarse la cara, la nariz y los ojos); la distancia de
seguridad; el uso de mascarilla en los términos que establece el apartado 2.3 de esta
Resolución; la preferencia por los espacios al aire libre para la realización de actividades;
la ventilación correcta de los espacios cerrados, y la limpieza y desinfección de las
superficies.
Tanto en espacios cerrados como al aire libre, excepto para grupos de personas
convivientes, la distancia de seguridad se establece en 1,5 metros, en general, con el
equivalente a un espacio de seguridad de 2,5 metros cuadrados por persona, a menos
que sean vigentes para la tipología de la actividad valores más restrictivos. Cuando el
desarrollo de la actividad no permita mantener la distancia de seguridad se tienen que
adoptar las medidas de higiene y organizativas adecuadas para prevenir los riesgos de
contagio.»
Esta resolución no modifica las medidas específicas de prevención e higiene en centros
de trabajo de la RESOLUCIÓN SLT/177/2022, de 2/02.
RESOLUCIÓN SLT/342/2022, de 16/02, por la que se establecen las medidas en materia
de salud pública para la contención del brote epidémico de la pandemia de COVID-19 en
el territorio de Cataluña
También recoge en el punto 2.1”Medidas de protección individual y colectiva
1. La ciudadanía debe adoptar las medidas necesarias para evitar la generación de
riesgos de propagación de la infección por el SARS-CoV-2, así como la propia exposición
a estos riesgos, y debe adoptar las medidas de protección individual y colectiva
fundamentadas en: la higiene frecuente de manos; la higiene de síntomas respiratorios
(evitar toser directamente al aire, taparse la boca con la cara interna del antebrazo en
estos casos y evitar tocarse la cara, la nariz y los ojos); la distancia de seguridad; el uso
de mascarilla en los términos que establece el apartado 2.3 de esta Resolución; la
preferencia por los espacios al aire libre para la realización de actividades; la correcta
ventilación de los espacios cerrados, y la limpieza y desinfección de las superficies.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
45/96
Tanto en espacios cerrados como al aire libre, excepto para grupos de personas
convivientes, la distancia de seguridad se establece en 1,5 metros, por lo general, con el
equivalente a un espacio de seguridad de 2,5 metros cuadrados por persona, salvo que
estén vigentes para la tipología de la actividad valores más restrictivos. Cuando el
desarrollo de la actividad no permita mantener la distancia de seguridad deben adoptarse
las medidas de higiene y organizativas adecuadas para prevenir los riesgos de contagio.”
RESOLUCIÓN SLT/541/2022, de 2/03, por la que se establecen las medidas en materia
de salud pública para la contención del brote epidémico de la pandemia de COVID-19 en
el territorio de Cataluña
Establece en su punto 2.1”Medidas de protección individual y colectiva
1. La ciudadanía debe adoptar las medidas necesarias para evitar la generación de
riesgos de propagación de la infección por el SARS-CoV-2, así como la propia exposición
a estos riesgos, y debe adoptar las medidas de protección individual y colectiva
fundamentadas en: la higiene frecuente de manos; la higiene de síntomas respiratorios
(evitar toser directamente al aire, taparse la boca con la cara interna del antebrazo en
estos casos y evitar tocarse la cara, la nariz y los ojos); la distancia de seguridad; el uso
de mascarilla en los términos que establece el apartado 2.3 de esta Resolución; la
preferencia por los espacios al aire libre para la realización de actividades; la correcta
ventilación de los espacios cerrados, y la limpieza y desinfección de las superficies.
Tanto en espacios cerrados como al aire libre, excepto para grupos de personas
convivientes, la distancia de seguridad se establece en 1,5 metros, por lo general, con el
equivalente a un espacio de seguridad de 2,5 metros cuadrados por persona, salvo que
estén vigentes para la tipología de la actividad valores más restrictivos. Cuando el
desarrollo de la actividad no permita mantener la distancia de seguridad deben adoptarse
las medidas de higiene y organizativas adecuadas para prevenir los riesgos de contagio.
(…)”
Y 3.4”Medidas de prevención e higiene en centros de trabajo
(…)
2. Sin perjuicio del cumplimiento de la normativa de prevención de riesgos laborales y del
resto de normativa laboral aplicable, las personas titulares de centros de trabajo, públicos
y privados deben adoptar, en los centros de trabajo, entre otras, las siguientes medidas:
a) Adoptar medidas organizativas en las condiciones de trabajo, de forma que se
garantice el mantenimiento de la distancia de seguridad. Y, cuando esto no sea posible,
deben proporcionarse a los trabajadores los equipos de protección adecuados al nivel del
riesgo. (…)”
Ninguna de las citadas resoluciones prevé aportación de certificación COVID para ningún
colectivo o sector de actividad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
46/96
DÉCIMO PRIMERO: La reclamada ha aportado en lengua inglesa una Evaluación de
impacto en la protección de datos sobre “Tratamiento de los datos sanitarios relacionados
con Covid-19 de los empleados de los proveedores” que deben estar in situ en la sede
del MWC Barcelona 2022 para prestar servicios, de fecha 22/04/2022, de modo que no
se acredita haber sido aprobada antes de llevarse a cabo los tratamientos afectados
( recogida de datos, desde 23/01/2022 hasta el 8/03/2022).
En el Paso 4:”Evaluar la necesidad y la proporcionalidad”, la citada evaluación de impacto
recoge lo siguiente:
¿En qué base legal confiará para procesar los datos?
“Artículo 6 del RGPD
Artículo 6.1 c) — cumplimiento de una obligación jurídica
El Plan Comunidad Comprometida se desarrolló en colaboración con las autoridades
públicas catalanas (departamentos del Gobierno catalán, incluidas las Autoridades
Sanitarias Catalanas y Procicat) y aprobado por Procicat.
El Plan también está alineado con los Planes de Acción Catalán de Covid para Ferias y
Congresos (Plan de Acción para Congresos y Plan de Acción para Ferias) aplicables a
GSMA y FIRA, respectivamente.
El Plan Comunidad Comprometida incluye el requisito de que GSMA solicite la
Información Covid.
En virtud de la Ley 18/2009 de Salud Pública, las autoridades sanitarias pueden interferir
en las actividades públicas y privadas con el fin de proteger la salud de los ciudadanos y
prevenir enfermedades. GSMA considera que el Plan Comunidad Comprometida
constituía tal interferencia y GSMA considera que el Plan tal como fue acordado y
aprobado por las Autoridades Sanitarias Catalanas como un mandato para implementar
las medidas de Covid-19 en el Evento del MWC con el fin de evitar la propagación del
Covid-19, incluida la recopilación de información sobre la COVID-19. GSMA está
obligada por ley a acatar las instrucciones de las autoridades sanitarias y, por lo tanto,
Artículo 6, letra d), interés vital del interesado. En la medida en que el motivo anterior no
sea aplicable, GSMA se basa en esta base legal para el tratamiento de la información
Covid. Consideramos i) el considerando 46 del RGPD, que establece explícitamente que
las organizaciones pueden basarse en esta base legal para el tratamiento cuando sea
necesario para proteger los intereses vitales de una persona o de un grupo, incluida la
vigilancia de las epidemias y su propagación; y ii) el reconocimiento por parte de la APD
española de que esta base legal puede ser utilizada para el tratamiento de datos
personales relacionados con Covid-19.
Artículo 9 del RGPD
Artículo 9, apartado 2, letra q): interés público sustancial sobre la base del Derecho de la
Unión o del Derecho español. GSMA estaba obligada por ley a cumplir las instrucciones
de las autoridades sanitarias y, por lo tanto, a desarrollar y cumplir con el Plan
Comunitario Comprometido (véanse las referencias anteriores).
¿Se puede lograr el resultado deseado procesando menos datos?
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
47/96
No. GSMA se ha comprometido a procesar la cantidad mínima de datos personales
necesaria para lograr los fines del procesamiento. El alcance de los datos, así como las
actividades de tratamiento (es decir, GSMA no tuvo acceso a la Información Covid a la
que solo fue accedido su subprocesador, QUIRONPREVENCIÓN, y procesado
íntegramente en la Plataforma) se han establecido de acuerdo con el principio de
minimización de datos.
¿Cómo va a proporcionar transparencia a las personas?
Aviso de privacidad proporcionado a las personas por su empleador en nombre de GSMA
antes de que sus datos sean compartidos por el empleador con el procesador de
GSMA/GSMA. De acuerdo con los Términos y Condiciones del Registro del Contratista,
los proveedores están obligados a comprometerse contractualmente a cumplir con todas
las obligaciones de transparencia y licitud antes de compartir los datos de sus empleados
con GSMA, incluida la provisión del Aviso de Privacidad a todos los empleados
relevantes antes de compartirlos.
¿Cómo permitirá que los interesados ejerzan sus derechos?
Los derechos de los interesados y la forma en que pueden ejercerse se detallan en el
Aviso de privacidad.
¿Cómo garantizará el cumplimiento de la protección de datos por parte de los
proveedores?
Compromisos contractuales en los acuerdos de tratamiento de datos pertinentes,
incluidas las disposiciones exigidas por el artículo 28 del RGPD.
¿Qué medidas tomará para garantizar el cumplimiento de las normas de exportación de
datos? (traducción no oficial)
En este apartado se evalúan los siguientes riesgos: (i) Divulgación no autorizada de
datos personales sensibles de los empleados por parte del subprocesador
QUIRONPREVENCIÓN (ii) La recopilación de datos personales más sensibles de lo que
se requiere (iii) Los datos personales se conservarán durante más tiempo del necesario
(iv) Confianza en la base legal identificada del interés legítimo para el tratamiento (v)
Reclamación por la decisión de denegar la entrada al empleado de un proveedor, basada
en la información Covid. (vi) No proporcionar suficiente información a las personas (vii)
Incumplimiento suficiente de una solicitud de los interesados (DSR (viii) Alcance creep: el
riesgo de que la Información Covid se utilice para cualquier propósito más allá de lo que
se ha previsto en esta EIPD (ix) Tratamiento de datos personales excesivos (traducción
no oficial)
DÉCIMO SEGUNDO Sobre la finalidad del tratamiento, la reclamada indicó que era
proteger a los asistentes y a los empleados garantizando un entorno seguro y saludable
para todos ellos, evitando la propagación del virus, ”como amenaza transfronteriza grave
para la salud pública del modo requerido conforme al Plan consensuado y aprobado por
las autoridades sanitarias”, indicando que durante los cuatro días de la celebración del
Congreso, fueron 61.000 personas las que accedieron como asistentes, y 11.970
personas como empleados, reconociendo que a todas ellas les fue exigido el sistema del
certificado COVID.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
48/96
El tratamiento y conservación de los datos recabados es necesario, según la reclamada,
por cuanto tras la recogida de los datos de los empleados, se ha de analizar por el
subencargado, QUIRONPREVENCIÓN, si la documentación que aporten referida a la
COVID 19 es válida, toda vez que se ha de verificar la información. A título de ejemplos:
si tiene todas las dosis, si está en el tiempo de efectividad de la vacuna, o si el certificado
fue emitido por una autoridad oficialmente reconocida. Además, la recogida y
conservación de los datos se realiza porque sirve de pase a la instalación, facilitando el
acceso, reconociendo la reclamada que si aflora un caso positivo podría invalidarse el
pase.
DÉCIMO TERCERO: Sobre las garantías para la protección de los derechos y libertades
de las personas, la reclamada adjuntó:
-las medidas de seguridad aplicadas por QUIRONPREVENCIÓN, manifestando que no
tenía acceso a los datos el responsable del tratamiento, que eran recogidos directamente
por QUIRONPREVENCIÓN que los analizaba, y confirmaba el apto o no apto para
acceder, hecho que, sí era comunicado a la responsable, organizadora del sistema de los
accesos de asistentes y de empleados de proveedores.
También se acredita que la reclamada antes de a los datos de salud inscritos en relación
con la COVID 19, había registrado los datos de los empleados de los proveedores (al
menos nombre y apellidos, proveedor, DNI-NIF, correo electrónico)
-Una EIPD que aporta, de fecha 22/04/2022, cuando los datos de los empleados
comenzaron a exigírseles desde 23/01/2022, en la que no se acredita que se hubiera
contado con la actuación de la Delegación de Protección de Datos, y no consta que uno
de los puntos a cubrir fuera la evaluación de riesgos para derechos y libertades de los
interesados, así como la necesidad y proporcionalidad de las operaciones de tratamiento
de los datos de salud con respecto a su finalidad, tampoco referente a los empleados de
los proveedores que realizan el montaje de las instalaciones donde se celebra el evento,
se cita aspecto alguno sobre el derecho al trabajo como derecho afectado, y la eventual
prohibición del acceso al puesto de trabajo o la relación con el derecho a la prevención de
riesgos laborales.
DÉCIMO CUARTO: Sobre la información facilitada del tratamiento de datos de los
empleados de los proveedores, y del reclamante, en particular, la reclamada en su
respuesta al traslado y también así figura en la EIPD, indicó que corre a cargo del
proveedor empleador,” al no tener GSMA contacto directo con los trabajadores”,
añadiendo que en “el contrato entre GSMA y el proveedor (que además no es aportado)
requiere el cumplimiento de las leyes aplicables en materia de protección de datos,
incluidos transparencia y legalidad a los efectos de ceder los datos de sus trabajadores a
GSMA o sus encargados de tratamiento, incluyendo la provisión de la política de
privacidad de GSMA a sus trabajadores, que es facilitada a los proveedores.” En la EIPD,
además se añade en valoración de riesgos el de:” No proporcionar suficiente información
a los individuos”,” GSMA asegura que a los empleados de los proveedores se les
proporciona el Aviso de Privacidad antes de que sus datos sean compartidos por su
empleador con GSMA. De acuerdo con los Términos y Condiciones de Registro de
Contratista, los proveedores son obligados contractualmente a cumplir todas las
obligaciones de transparencia y licitud antes de compartir los datos de sus empleados
con GSMA, incluyendo la provisión del Aviso de privacidad de GSMA para todos los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
49/96
empleados antes de compartir.” Se cataloga como: alto en severidad del riesgo, remoto
en probabilidad y riesgo general: bajo. La información sobre los derechos está también
incluida en la política de Privacidad.”
“Los derechos de los interesados y la forma en que pueden ejercerse se detallan en la
Comunicación sobre privacidad”
Se debe mencionar que si bien la política de privacidad que figura en la web de la
reclamada, versión 22 04 2021, contiene como colectivo al que se le aplica el tratamiento
de datos: entre otros, a terceros, o personal de terceros y otras personas que participan
en el evento o “el sistema de carga masiva de contratistas”, se especifica en otra cláusula
“Información que se obtiene de terceros”, que reza: ”De vez en cuando, la GSMA recibe
información personal de terceros. Esto puede ocurrir, por ejemplo, si su empleador es
miembro de GSMA y le inscribe en un evento o formación o si su empleador (o entidad
por la que está contratado como contratista o miembro del personal temporal) presta
servicios a GSMA y usted participa en la prestación de estos servicios.”
Siendo cierto que los datos del reclamante y de los empleados de los proveedores fueron
introducidos por los empleadores, proveedores de la reclamada, en una aplicación de
esta, y que luego esta contactaba con cada empleado a través de correo electrónico, no
consta que en ninguno de los dos momentos ni con posterioridad, la reclamada informara
a los afectados en cumplimiento de la obligación que prevé el artículo 14 del RGPD.
Además, se observa que en la política de privacidad, al ser comprensiva de diversos
sujetos participantes en el evento, en “Retención de datos”, no se detalla la conservación
de los datos recabados de los empleados de los proveedores, instando a contactar para
obtener más información y no se prevé qué base legitimadora corresponde
específicamente al tratamiento de cada tipo de asistente/empleado, señalándola de modo
general y abstracto sin identificar los colectivos a los que se refiere, ni el derecho a
presentar una reclamación ante una autoridad de control, así como la fuente de la que
proceden los datos, ni los datos del contacto del Delegado de Protección de Datos.
Además, en ”información que proporciona voluntariamente”, figura ”pruebas de COVID
19: Como se indica en nuestro Plan de Comunidad Comprometida, se le requerirá que se
someta a test COVID 19 en intervalos regulares durante el evento. La información sobre
sus resultados de los test será tratada para el único fin de control de acceso”, no
haciendo mención de la exigencia de la vacunación o certificado COVID, que además no
era voluntaria su aportación para los empleados.
FUNDAMENTOS DE DERECHO
I Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los
derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este
procedimiento la Directora de la Agencia Española de Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
50/96
Asimismo, el artículo 63.2 de la LOPDGDD determina que: ”Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II Cuestiones preliminares
Partiendo del RGPD, el artículo 4 del RGPD indica: ”se entenderá por:
“1) «datos personales»: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un
identificador, como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos
personales o conjuntos de datos personales, ya sea por procedimientos automatizados o
no, como la recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación,
supresión o destrucción;
7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad
pública, servicio u otro organismo que, solo o junto con otros, determine los fines y
medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina
los fines y medios del tratamiento, el responsable del tratamiento o los criterios
específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los
Estados miembros;”
8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad
pública, servicio u otro organismo que trate datos personales por cuenta del responsable
del tratamiento”
…
“15) datos relativos a la salud: datos personales relativos a la salud física o mental de
una persona física, incluida la prestación de servicios de atención sanitaria, que revelen
información sobre su estado de salud;”
El considerando 35 del RGPD se refiere a los datos de salud en los siguientes términos:
“Entre los datos personales relativos a la salud se deben incluir todos los datos relativos
al estado de salud del interesado que dan información sobre su estado de salud física o
mental pasado, presente o futuro. Se incluye la información sobre la persona física
recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de
la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
51/96
Parlamento Europeo y del Consejo (1); todo número, símbolo o dato asignado a una
persona física que la identifique de manera unívoca a efectos sanitarios; la información
obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal,
incluida la procedente de datos genéticos y muestras biológicas, y cualquier información
relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer
enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o
biomédico del interesado, independientemente de su fuente, por ejemplo un médico u
otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in
vitro”
En definitiva, el considerando 35 del RGPD determina que “la información sobre la
persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o
con ocasión de la prestación de tal asistencia, de conformidad con la Directiva
2011/24/UE del Parlamento Europeo y del Consejo” está incluida en la categoría especial
de datos de salud.
La Directiva 2011/24/UE, a la que nos remite el considerando 35, indica en su artículo
3,”Definiciones”, qué se entiende por:” a) <asistencia sanitaria>: los servicios
relacionados con la salud prestados por un profesional sanitario a pacientes para evaluar,
mantener o restablecer su estado de salud, incluidos la receta, dispensación y provisión
de medicamentos y productos sanitarios;”.
El artículo 3 de la Directiva 2011/24/UE también determina, apartados f) e i),
respectivamente, qué se entiende por ”profesional sanitario” y por ”medicamentos”.
El apartado f) define al ”profesional sanitario” como ”todo doctor en medicina, enfermero
responsable de cuidados generales, odontólogo, matrona o farmacéutico a tenor de lo
dispuesto en la Directiva 2005/36/CE u otro profesional que ejerza actividades en el
sector de la asistencia sanitaria que estén restringidas a una profesión regulada según se
define en el artículo 3, apartado 1, letra a), de la Directiva 2005/36/CE, o toda persona
considerada profesional sanitario conforme a la legislación del Estado miembro de
tratamiento ;”
Al hilo de lo anterior, cabe señalar que la Ley 44/2003, de 21/11, de ordenación de la
profesión sanitaria, califica como “profesional sanitario”, entre otros profesionales, a los
Diplomados en Enfermería (artículo 2) y a los Técnicos en Cuidados Auxiliares en
Enfermería (artículo 3)
Y el apartado i) del artículo 3 de la Directiva 2011/24/UE entiende por «medicamento
“todo medicamento según se define en la Directiva 2001/83/CE”. A su vez, la Directiva
2001/83/CE del Parlamento Europeo y del Consejo, de 6/11/2001, por la que se establece
un código comunitario sobre medicamentos para uso humano, en su artículo 1.2 entiende
por ”medicamento” “a) toda sustancia o combinación de sustancias que se presente
como poseedora de propiedades para el tratamiento o prevención de enfermedades en
seres humanos, o b) toda sustancia o combinación de sustancias que pueda usarse en, o
administrarse a seres humanos con el fin de restaurar, corregir o modificar las funciones
fisiológicas ejerciendo una acción farmacológica, inmunológica o metabólica, o de
establecer un diagnóstico médico”.
A la luz de las disposiciones que se citan, la vacunación de una persona contra el COVID-
19 implica la prestación de un servicio de asistencia sanitaria; un servicio prestado por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
52/96
quienes, de acuerdo con la legislación española, Ley 44/2003, tienen la consideración de
profesionales sanitarios y mediante el que se dispensa un medicamento, tal y como lo
define el artículo 1.2 de la Directiva 2001/83/CE.
Por consiguiente, la información acerca de si una persona física identificada ha recibido o
no la vacuna del Covid-19 tiene la naturaleza de dato personal relativo a la salud
Así pues, la información recogida y conservada por la reclamada sobre la vacunación
frente al COVID-19 de los trabajadores o sobre el resultado de una prueba PCR o el
certificado de recuperación de la enfermedad, constituye un “tratamiento” de “datos de
carácter personal” relativos a la “salud” de una persona física.
Por otro lado, conviene aquí señalar en relación con la alegación de la reclamada de que
el instructor debió haber abierto un período de práctica de pruebas al haber propuesto la
reclamada lo siguiente:“ para el supuesto hipotético que no se archive de manera
inmediata el expediente administrativo sancionador incoado, y de conformidad con lo
previsto en el artículo 77 de la Ley 39/2015, procederá que este Instructor acuerde abrir
un período de prueba y otorgue trámite a esta parte para proponer los correspondientes
medios”, señalando en sus segundas y terceras alegaciones al acuerdo de inicio que “se
propondrán los documentos aquí adjuntos…”. Respecto a esta cuestión, se debe indicar
que el artículo 77 de la LPACAP señala:
“1. Los hechos relevantes para la decisión de un procedimiento podrán acreditarse por
cualquier medio de prueba admisible en Derecho, cuya valoración se realizará de
acuerdo con los criterios establecidos en la Ley 1/2000, de 7 de enero, de
Enjuiciamiento Civil.
2. Cuando la Administración no tenga por ciertos los hechos alegados por los
interesados o la naturaleza del procedimiento lo exija, el instructor del mismo acordará
la apertura de un período de prueba por un plazo no superior a treinta días ni inferior a
diez, a fin de que puedan practicarse cuantas juzgue pertinentes. Asimismo, cuando lo
considere necesario, el instructor, a petición de los interesados, podrá decidir la
apertura de un período extraordinario de prueba por un plazo no superior a diez días.
3. El instructor del procedimiento sólo podrá rechazar las pruebas propuestas por los
interesados cuando sean manifiestamente improcedentes o innecesarias, mediante
resolución motivada.”
El artículo 78 señala:
“1. La Administración comunicará a los interesados, con antelación suficiente, el inicio de
las actuaciones necesarias para la realización de las pruebas que hayan sido admitidas.
2. En la notificación se consignará el lugar, fecha y hora en que se practicará la prueba,
con la advertencia, en su caso, de que el interesado puede nombrar técnicos para que le
asistan.”
-Los documentos y alegaciones presentadas por la reclamada han sido contemplados y
valorados en la redacción de la propuesta de resolución, no han sido inadmitidos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
53/96
Expresamente la reclamada no solicitó se practicara en concreto ninguna prueba ni su
finalidad, ni añadió en tal sentido que se instara a un tercero la practica o solicitud en que
se pudiera concretar esa práctica de prueba.
-Además la reclamada no solicitó específicamente practica de ninguna prueba ni en el
periodo de alegaciones, ni transcurrido este, y en todo caso antes de la propuesta de
resolución en la que deben ser valorados los hechos, de acuerdo con el artículo 89.3 de
la LPACAP. Emitida la propuesta de resolución, no cabe proponer pruebas La reclamada
en cada alegación que efectuó, presentó de hecho los documentos que ha tenido por
oportuno, y podría haber presentado los que hubiera tenido por conveniente a su derecho
La concreción de propuesta de prueba, si se hubiera producido, habría permitido valorar
la pertinencia para el caso, no siendo preciso abrir período de práctica de pruebas
solamente para incorporar la documentación que la reclamada manifestó se tuviera en
cuenta.
El Instructor no apreció elemento alguno que concurriera dentro de los señalados en el
artículo 77.2 de la LPCAP para abrir periodo de practica de pruebas, por lo tanto, no cabe
comunicación alguna a la reclamada que motive porque no abre dicho período de
pruebas.
Los elementos que se tuvieron en cuenta en la propuesta solo guardan relación con las
actuaciones de la reclamada, los documentos que ella misma aportó sin considerar que
figuran en el procedimiento hechos y alegaciones de terceras partes. Emitida la
propuesta de resolución, tampoco la reclamada ha solicitado la práctica de prueba
alguna.
El hecho de no abrir periodo de pruebas no consta que haya producido indefensión de la
reclamada que ha podido alegar lo que ha considerado conveniente a su derecho a lo
largo de todo el procedimiento.
III Sobre el tratamiento de datos de salud
Con arreglo al considerando 1 del RGPD: ”la protección de las personas físicas en
relación con el tratamiento de datos personales es un derecho fundamental. El artículo 8,
apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea […] y
el artículo 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea
(TFUE) establecen que toda persona tiene derecho a la protección de los datos de
carácter personal que le conciernan”.
Como se indica en el considerando 53, los datos relativos a la salud merecen una mayor
protección, pues el uso de esos datos sensibles puede tener repercusiones negativas
significativas para los interesados. A la luz de lo anterior y de la jurisprudencia pertinente
del Tribunal de Justicia de la Unión Europea (TJUE), considera que el término “datos
relativos a la salud” debe interpretarse en sentido amplio.
Los datos relativos a la salud pueden obtenerse de diversas fuentes, desde un historial
médico, una encuesta de “autocomprobación”, en la que los interesados responden a
preguntas relacionadas con su salud (por ejemplo, declaración de síntomas), siendo la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
54/96
vacunación o el resultado de una prueba PCR, datos referentes a la salud del individuo,
que en este caso se demandan del propio afectado con la colaboración del proveedor de
la reclamada. Las consecuencias de no proporcionar tales datos podrían ser que no se
permitiese el acceso al lugar de la prestación del servicio, instalaciones donde la
reclamada organiza el MWC 2022.
Todo tratamiento de datos personales relativos a la salud debe cumplir los principios
pertinentes establecidos en el artículo 5 del RGPD, ajustarse a una de las bases jurídicas
recogidas en el artículo 6 y a una de las excepciones específicas que se enumeran,
respectivamente, en el artículo 9 del RGPD, para la licitud del tratamiento de esta
categoría especial de datos personales.
Así lo indicó ya el Grupo de Trabajo del Articulo 29 (cuyas funciones han sido asumidas
por el Comité Europeo de Protección de Datos) en las “Directrices sobre decisiones
individuales automatizadas y elaboración de perfiles a los efectos del Reglamento
2016/679” adoptadas el 3/10/2017, revisadas el 6/02/2018, al indicar que (…) “Los
responsables del tratamiento solo pueden tratar datos personales de categoría especial
si se cumplen una de las condiciones previstas en el artículo 9, apartado 2, así como una
condición del artículo 6.(…), y más recientemente, el Comité Europeo de Protección de
Datos en sus “Directrices 03/2020 sobre el tratamiento de datos relativos a la salud con
fines de investigación científica en el contexto del brote de COVID-19, adoptadas el 21 de
abril de 2020”.
Criterio por lo demás, avalado por la Sentencia del TJUE, de 21/12/2023, asunto C-
667/21, para un supuesto en que se examinaba una excepción de aplicación del artículo
9 del RGPD, en el fallo, punto 1.3, con el literal” Los artículos 9, apartado 2, letra h), y 6,
apartado 1, del Reglamento 2016/679 deben interpretarse en el sentido de que un
tratamiento de datos relativos a la salud basado en esta primera disposición debe, para
ser lícito, no solo cumplir los requisitos que se derivan de esta, sino también, al menos,
una de las condiciones de licitud enunciadas en ese artículo 6, apartado 1, según el
análisis realizado en los apartados 71 a 78.”
El RGPD dedica el artículo 5 a los principios que presiden el tratamiento de los datos de
carácter personal y establece en el apartado 1:
“1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y
transparencia>>.
(...)”
El artículo 5.2 indica que:” El responsable del tratamiento será responsable del
cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo
(<<responsabilidad proactiva>>)”
El artículo 70 de la LOPDGDD establece los sujetos responsables, señalando:
“1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y
en la presente ley orgánica:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
55/96
a) Los responsables de los tratamientos.
(…)”
El RGPD, artículo 9.1, prohíbe, con carácter general, el tratamiento de los “datos
especiales”, entre los que menciona los relativos a la salud. No obstante, el apartado 2
del precepto introduce diez excepciones; diez supuestos en los que la prohibición de
tratamiento puede levantarse si concurre alguna de ellas. Estas circunstancias que
exceptúan la regla general de prohibición están conectadas con “alguna” de las bases
jurídicas que conforme al artículo 6.1 del RGPD legitiman el tratamiento de los datos.
El Informe del Gabinete Jurídico de la AEPD 0017/2020 recoge que “con carácter
general, debe aclararse que la normativa de protección de datos personales, en tanto
que, dirigida a salvaguardar un derecho fundamental, se aplica en su integridad a la
situación actual, dado que no existe razón alguna que determine la suspensión de
derechos fundamentales, ni dicha medida ha sido adoptada.” y “reconoce que, en
situaciones excepcionales, como una epidemia, la base jurídica de los tratamientos
puede ser múltiple, basada tanto en el interés público, como en el interés vital del
interesado u otra persona física.” Esto,” Sin perjuicio de que puedan existir otras bases,
-como por ejemplo el cumplimiento de una obligación legal, art. 6.1.c) RGPD (para el
empleador en la prevención de riesgos laborales de sus empleados)”
En cuanto a las excepciones del artículo 9.2 RGPD, el referido informe tras su análisis
determina que:” En consecuencia, en una situación de emergencia sanitaria […] la
aplicación de la normativa de protección de datos personales permitiría adoptar al
responsable del tratamiento aquellas decisiones que sean necesarias para salvaguardar
los intereses vitales de las personas físicas, el cumplimiento de obligaciones legales o la
salvaguardia de intereses esenciales en el ámbito de la salud pública, dentro de lo
establecido por la normativa material aplicable.”
Y finalmente, razona lo siguiente:
“Pero los responsables de tratamientos, al estar actuando para salvaguardar dichos
intereses, deberán actuar conforme a lo que las autoridades establecidas en la normativa
del Estado miembro correspondiente, en este caso España, establezcan.”
Así, el legislador español se ha dotado de las medidas legales necesarias oportunas para
enfrentarse a situaciones de riesgo sanitario, como la Ley Orgánica 3/1986, de 14/04, de
Medidas Especiales en Materia de Salud Pública (modificada mediante Real Decreto-ley
6/2020, de 10/03, por el que se adoptan determinadas medidas urgentes en el ámbito
económico y para la protección de la salud pública, publicado en el Boletín Oficial del
Estado de 11/03/2020) o la Ley 33/2011, de 4/10, General de Salud Pública.
El artículo 3 de la primera de dichas normas señala que:
“Con el fin de controlar las enfermedades transmisibles, la autoridad sanitaria, además de
realizar las acciones preventivas generales, podrá adoptar las medidas oportunas para el
control de los enfermos, de las personas que estén o hayan estado en contacto con los
mismos y del medio ambiente inmediato, así como las que se consideren necesarias en
caso de riesgo de carácter transmisible.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
56/96
Del mismo modo, los artículos 5 y 84 de la Ley 33/2011, de 4/10, General de Salud
Pública, se refieren a la anterior Ley orgánica 3/1986, y a la posibilidad de adoptar
medidas adicionales en caso de riesgo de transmisión de enfermedades.
Por lo tanto, en materia de riesgo de transmisión de enfermedades, epidemia, crisis
sanitarias etc., la normativa aplicable ha otorgado “a las autoridades sanitarias de las
distintas Administraciones públicas” (art. 1 Ley Orgánica 3/1986, de 14/04) las
competencias para adoptar las medidas necesarias previstas en dichas leyes cuando así
lo exijan razones sanitarias de urgencia o necesidad.
En consecuencia, desde un punto de vista de tratamiento de datos personales, la
salvaguardia de intereses esenciales en el ámbito de la salud pública corresponde a las
distintas autoridades sanitarias de las diferentes administraciones públicas, quienes
podrán adoptar las medidas necesarias para salvaguardar dichos intereses esenciales
públicos en situaciones de emergencia sanitaria de salud pública.
Serán estas autoridades sanitarias competentes de las distintas administraciones
públicas quienes deberán adoptar las decisiones necesarias, y los distintos responsables
de los tratamientos de datos personales deberán seguir dichas instrucciones, incluso
cuando ello suponga un tratamiento de datos personales de salud de personas físicas. Lo
anterior hace referencia, expresamente, a la posibilidad de tratar los datos personales de
salud de determinadas personas físicas por los responsable de tratamientos de datos
personales, cuando, por indicación de las autoridades sanitarias competentes, sea
necesario comunicar a otras personas con las que dicha persona física ha estado en
contacto la circunstancia del contagio de esta, para salvaguardar tanto a dichas personas
físicas de la posibilidad de contagio (intereses vitales de las mismas) cuanto para evitar
que dichas personas físicas, por desconocimiento de su contacto con un contagiado
puedan expandir la enfermedad a otros terceros (intereses vitales de terceros e interés
público esencial y/o cualificado en el ámbito de la salud pública).
Ahora bien, como indica el referido informe, los tratamientos de datos personales en
estas situaciones de emergencia sanitaria, siguen siendo tratados de conformidad con la
normativa de protección de datos personales (RGPD y Ley Orgánica 3/2018, de 5/12, de
Protección de Datos Personales y garantía de los derechos digitales, LOPDGDD), por lo
que se aplican todos sus principios, contenidos en el artículo 5 RGPD, y entre ellos el de
tratamiento de los datos personales con licitud, lealtad y transparencia, de limitación de la
finalidad (en este caso, salvaguardar los intereses vitales/esenciales de las personas
físicas), principio de exactitud, y por supuesto, y hay que hacer especial hincapié en ello,
el principio de minimización de datos.
Sobre este último aspecto, hay que hacer referencia expresa a que los datos tratados
habrán de ser exclusivamente los limitados a los necesarios para la finalidad pretendida,
sin que se pueda extender dicho tratamiento a cualesquiera otros datos personales no
estrictamente necesarios para dicha finalidad.
Por tanto, las normas de protección de datos (como el RGPD) no entorpecen las medidas
adoptadas para luchar contra la pandemia de COVID-19. El RGPD es un acto legislativo
de gran alcance e incluye distintas disposiciones que permiten gestionar el tratamiento de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
57/96
datos personales relacionados con la pandemia de COVID-19 sin menoscabo de los
derechos fundamentales y a la protección de los datos personales.
Por ello, al aplicarse dichos preceptos previstos para estos casos en el RGPD, en
consonancia con la normativa sectorial aplicable en el ámbito de la salud pública, las
consideraciones relacionadas con la protección de datos -dentro de los límites previstos
por las leyes- no deberían utilizarse para obstaculizar o limitar la efectividad de las
medidas que adopten las autoridades, especialmente las sanitarias, en la lucha contra la
epidemia.
El Real Decreto 463/2020, de 14/03, y las medidas en él contenidas, así como las
establecidas en los sucesivos reales decretos de prórroga del estado de alarma, han
constituido el marco regulador básico de la normativa adoptada para hacer frente a la
emergencia sanitaria provocada por la pandemia.
En España, se ha de partir de la base de que la vacuna contra la Covid-19 no es
obligatoria y que su establecimiento como obligatoria podría lesionar derechos
reconocidos constitucionalmente. El certificado COVID no se estableció como obligatorio
para los trabajadores y no se ha acreditado que las autoridades sanitarias hayan
establecido que a un determinado colectivo se le exijan las medidas adoptadas por la
reclamada que podrían derivar en una vacunación obligatoria, en este caso, para los
empleados del montaje del Congreso MWC22. Como ejemplo de un supuesto similar a lo
que se manifiesta, cabe destacar la sentencia del Tribunal Supremo, sala cuarta, de lo
social, sección Pleno, sentencia 562/2021, de 20/05/2021, rec 130/2020, que establece la
falta de obligatoriedad normativa para exigir para personal técnico de transporte sanitario
y conductor que hubieran estado en contacto directo o indirecto con pacientes COVID
test rápidos de detección de anticuerpos
Por otro lado, respecto a las alegaciones de la reclamada tras la propuesta, se ha de
indicar que en cuestión de prevención de riesgos laborales, es el empleador el que está
obligado a velar por la integridad física de los trabajadores, de acuerdo con los
parámetros específicos en cada situación de riesgo en el escenario de la pandemia del
Coronavirus, y en este caso, las empresas proveedoras no han jugado papel alguno en
este sentido, al serle impuesta por la organizadora y reclamada, la exigencia del registro
de sus empleados con el fin de que subieran la documentación sanitaria para que
accedieran a los lugares de trabajo.
La responsable del tratamiento tampoco consta que realizara una labor de coordinación
de las actuaciones de los diversos proveedores que utilizaban a sus empleados en el
recinto donde el responsable del tratamiento llevaría a cabo la actividad.
Para el acceso a su puesto de trabajo que coincide con el lugar en el que se celebra el
evento, estos trabajadores debían estar en posesión del certificado COVID o, en su
defecto, aportar certificado de recuperación de la enfermedad o prueba PCR, que tiene
una validez temporal limitada y que exigiría al trabajador aportar varias pruebas PCR, lo
que podría afectar a sus derechos fundamentales al trabajo, a la integridad física y a la
salud y a protección de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
58/96
La Ley Orgánica 3/1986 de 14/04, de medidas especiales en materia de salud pública
establece:
“Artículo primero. Al objeto de proteger la salud pública y prevenir su pérdida o deterioro,
las autoridades sanitarias de las distintas Administraciones Públicas podrán, dentro del
ámbito de sus competencias, adoptar las medidas previstas en la presente Ley cuando
así lo exijan razones sanitarias de urgencia o necesidad.”
…
“Artículo tercero. Con el fin de controlar las enfermedades transmisibles, la autoridad
sanitaria, además de realizar las acciones preventivas generales, podrá adoptar las
medidas oportunas para el control de los enfermos, de las personas que estén o hayan
estado en contacto con los mismos y del medio ambiente inmediato, así como las que se
consideren necesarias en caso de riesgo de carácter transmisible.”
Además, la estrategia de vacunación COVID-19 de 2/12/2020 es la norma que desarrolla
la coordinación entre autoridades sanitarias y refuerza el funcionamiento del conjunto del
sistema nacional de salud y no prevé la vacunación contra la COVID-19 como obligatoria.
La Orden SND/344/2020, de 13/04, por la que se establecen medidas excepcionales para
el refuerzo del Sistema Nacional de Salud y la contención de la crisis sanitaria
ocasionada por el COVID‐ 19, establece que la indicación para la realización de pruebas
diagnósticas para la detección del COVID‐19 deberá ser prescrita por un facultativo de
acuerdo con las directrices, instrucciones y criterios acordados al efecto por la autoridad
sanitaria competente.
El Decreto 63/2020 de 18/06, de la nueva gobernanza de la emergencia sanitaria
provocada por la COVID-19 y de inicio de la etapa de reanudación en el territorio de
Cataluña, DOGC de 19, determina en su artículo 1, con efectos de 19/06/2020, la
finalización de la fase III del Plan para la desescalada de las medidas extraordinarias
adoptadas para hacer frente a la pandemia generada por la COVID-19 para todo el
territorio de Cataluña. En su artículo 5 faculta a la “Consejera de Salud y el Consejero de
Interior, en su condición de autoridades integrantes del Comité de Dirección del Plan de
actuación PROCICAT para emergencias asociadas a enfermedades transmisibles
emergentes con potencial alto riesgo, a fin de que adopten las resoluciones necesarias
para hacer efectivas las medidas que han de regir la nueva etapa que se inicia.”
El mismo 18/06/2020, se dicta la RESOLUCIÓN SLT/1429/2020, de 18/06, por la que se
adoptan medidas básicas de protección y organizativas para prevenir el riesgo de
transmisión y favorecer la contención de la infección por SARS-CoV-2. (DOGC 19-06-
2020). Esta norma refiere en su exposición de motivos que pretende conseguir que las
actividades que pueden generar un mayor riesgo de transmisión comunitaria se
desarrollen en condiciones que permitan prevenir los riesgos de contagio y posibles
rebrotes, asociando factores de riesgo en la transmisión, el desarrollo en actividades en
espacios cerrados, la participación de alta densidad de personas y extensión larga en el
tiempo. La resolución establece medidas generales. En su artículo 1.2, se indica que las
medidas de la resolución tienen que ser completadas con planes sectoriales de
actividades, entre otros sectores, cita el de Ferias, Congresos y otras actividades
temporales con gran afluencia de público.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
59/96
A la fecha de celebración del MWC 22 se encontraba en vigor el Plan especial de
emergencias por pandemias en Cataluña, aprobado por acuerdo del Govern 40/2020 de
3/03. En esta disposición se establece como ámbito de pública concurrencia los
Congresos, Convenciones y Ferias comerciales en los que se deben tomar medidas
según la evolución de la emergencia pudiendo ser necesario plantear la restricción parcial
o suspensión de algunas actividades en lugares de pública concurrencia.
Las resoluciones emitidas sucesivamente en materia de salud pública para la contención
del brote epidémico de la pandemia COVID 19 en territorio de Cataluña indican que
“La intervención administrativa en las actividades públicas y privadas necesaria para
afrontar la situación de crisis sanitaria ocasionada por la COVID-19 se justifica en el
citado marco de las leyes sanitarias y de protección civil, sujeta a la garantía adicional del
control judicial con respecto al juicio de proporcionalidad en cuanto a las medidas que
tengan afectación en los derechos fundamentales”.
Según Auto TSJ CAT 869/2021, de 25/11/2021, rec 509/2021:”El Sistema de ratificación
-autorización judicial de medidas administrativas de salud pública, modificado por la Ley
3/2020, de 18 de septiembre, de medidas procesales y organizativas para haber frente al
COVID-19 en el ámbito de la Administración de Justicia, dio nueva redacción al artículo
8.6 de la LJCA e introdujo en dicha Ley los artículos 10.8 y 11.1.i), caracterizado por un
procedimiento que no reviste naturaleza contradictoria, dado que en él no debaten partes
procesales enfrentadas, sino que opera como un procedimiento de cognición limitada,
preferente y sumario, incardinado en el ámbito de la protección jurisdiccional de los
derechos fundamentales, que tiene por objeto la autorización o ratificación judicial de
medidas limitativas de derechos fundamentales, adoptadas por razones de salud pública.
Este Auto, ratifica las medidas contenidas en la resolución SLT/3512/2021, de 25/11, para
la exigencia de documentos COVID en las circunstancias contenidas y el ámbito de
actividades que expresamente prevé la norma, que no incluye a los Congresos. Esta
norma contempla la exhibición de la documentación, sin que se refiera a la conservación
de los datos de los certificados COVID.
El citado Auto, reitera lo reproducido en la sentencia del TS 1112/2021, de 14/09 de que
“el derecho de protección de datos protege cualquier información relativa a la persona, y
puede verse concernido si entendiéramos que la circunstancia de haberse vacunado o
no, fuera un dato personal, que, aunque no pertenezca a la esfera intima de la persona,
si es un dato relativo a la privacidad, que está especialmente protegido cuando es objeto
de tratamiento”
Por lo demás, el Auto, realiza el triple juicio de proporcionalidad de las medidas
contenidas en la resolución administrativa en relación con los derechos fundamentales
que se estiman comprometidos, y autoriza las medidas, no sin antes indicar que “no está
de más dejar constancia que la adición acentuada y sin freno de más y más actividades
va alcanzando una altura que va a requerir cuanto menos una mayor motivación y
justificación reforzada en el marco de la doctrina que se ha relacionado.”
Ahora bien, en la RESOLUCIÓN SLT/99/2022, de 26/01, se levantaron las medidas
restrictivas de derechos fundamentales que todavía estaban vigentes, entre ellas el
requisito del certificado COVID para el acceso a determinadas actividades no esenciales
en espacios cerrados (restauración, salas de actividad física y/o deportiva, gimnasios y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
60/96
actividades recreativas musicales permitidas: salas de concierto, cafés teatro, cafés
concierto y restaurantes musicales).
Las resoluciones dictadas por las autoridades sanitarias catalanas en su exposición de
motivos indicaban:
“La adopción de estas medidas por las autoridades competentes se ampara en la Ley
orgánica 3/1986, de 14 de abril, de medidas especiales en materia de salud pública, en el
resto de legislación sanitaria y de salud pública, en la legislación de protección civil y,
específicamente, en el Decreto ley 27/2020, de 13 de julio, de modificación de la Ley
18/2009, de 22 de octubre, de salud pública y de adopción de medidas urgentes para
hacer frente al riesgo de brotes de la COVID-19.
Mediante el Decreto ley 27/2020, de 13 de julio, se concretaron las medidas de
intervención administrativa que se pueden adoptar en situaciones de pandemia para
garantizar el control de contagios y se delimitó el procedimiento a seguir para adoptarlas.
Concretamente, se adicionó al artículo 55 de la Ley 18/2009, de 22 de octubre, de salud
pública una letra k), que prevé que, en situaciones de pandemia o epidemia declaradas
por las autoridades competentes, las autoridades sanitarias competentes pueden adoptar
medidas de limitación de la actividad, el desplazamiento de las personas y la prestación
de servicios en determinados ámbitos territoriales previstas en el anexo 3, de acuerdo
con el procedimiento que dispone el artículo 55 bis.
La intervención administrativa en las actividades públicas y privadas necesaria para
afrontar la situación de crisis sanitaria ocasionada por la COVID-19 se justifica en el
citado marco de las leyes sanitarias y de protección civil, sujeta a la garantía adicional del
control judicial con respecto al juicio de proporcionalidad en cuanto a las medidas que
tengan afectación en los derechos fundamentales.
El Decreto Ley 27/2020 establece en el artículo 55 bis 2, que “En caso de que se
establezcan medidas de carácter obligatorio, se tiene que advertir expresamente de esta
obligatoriedad, la cual estará fundamentada en los informes emitidos”
Las resoluciones vigentes durante el evento no contemplaban un evento como el de
MWC 22, ni se estableció ni se recogió alusión alguna a los certificados COVID para el
acceso a establecimientos.
En el presente supuesto, se han recogido diversos tipos de datos de los empleados de
los proveedores, unos iniciales de nombre y apellidos, DNI/NIF, correo electrónico
proporcionados por sus empleadores, proveedores de la reclamada, y otros de carácter
especial referidos a datos de salud relacionados con la COVID 19 proporcionados por los
propios trabajadores. Unos y otros datos fueron tratados por la reclamada, responsable
del tratamiento.
La reclamada no hizo balance sobre la restricción que la medida impuesta supone para el
derecho de los trabajadores y esta medida debe diferenciarse de la medida impuesta a
los asistentes al MWC22 pues la afectación a los derechos es diferente, Sin embargo, la
reclamada ni siquiera analizó esta cuestión con la debida profundidad en su EIPD.
IV Sobre las alegaciones a la propuesta de resolución
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
61/96
Sobre la alegación de la reclamada formulada tras la propuesta, referida a la pretendida
diferenciación también en sus contenidos, entre un contrato principal y otro de
subencargado de tratamiento, se ha de aclarar y partir de la base de que el citado
documento 4 que aportó la reclamada constituye una unidad de acto en el que
expresamente se declara en su cláusula primera el objeto, y en la segunda, la aplicación
de los ANEXOS que forman parte del contrato. Estos seis ANEXOS, entre los que se
cuentan el SEXTO: “contrato de encargado de tratamiento”, pero referido al objeto que se
fija en la cláusula primera del contrato.
La reclamada señala que el contrato de encargo con QP abarcaría solo la validación de
certificados COVID (incluyendo aquí, vacunación, recuperación o tests), y, puntualmente,
la realización de “test de antígeno rápido/PCR en el supuesto de ser solicitado por FIRA”.
Naturalmente, cada uno de los documentos a validar tenía que cumplir unos requisitos,
por ejemplo, la vacunación debía haber sido puesta en una determinada fecha para su
validez, homologadas, así como también para la documentación de la recuperación de la
enfermedad disponía de los suyos.
A tal efecto, el ANEXO 1B del contrato :“integración de sistemas “, señala que “El
proveedor contará con un sistema de información necesario para la gestión de los tests
COVID”, diferenciando DOS funcionalidades, la de “realización de pruebas in situ”, que
no consta se aplicara como regla general a los empleados de proveedores del montaje, y
la de “convalidación de resultados de pruebas”. La documentación se incorporaba a
través, según la reclamada, de una “web (adaptada a móviles) para envíos de test
previos”, mediante la cual, el visitante podrá indicar sus datos y subir un documento o foto
de un resultado PCR/antígenos o cartilla de vacunación/recuperación realizada
previamente.
La reclamada ha manifestado que, además de este servicio, en el llamado por ella:
“contrato principal” se “incluyen” una serie de servicios que se enumeran en el mismo
punto 1.1 del objeto del contrato, que serían los siguientes:
-La validación medica de los certificados COVID (parece que se reitera ya que se
contiene en el contrato de encargo),
-El contacto y “reconocimiento médico del trabajador” (no se contiene en el objeto
del contrato, que además utiliza la terminología “participante en el evento”, nada referido
al trabajador) y el
-“Servicio de atención hospitalaria (24/7) a través de la red de centros de Quirón
Salud para todos los participantes en el MWC22.”, que aparte de no citarse a los
empleados,
Servicios para los que manifiesta la reclamada que sería QUIRONPREVENCIÓN la
responsable del tratamiento.
QUIRONPREVENCIÓN, según la reclamada, actuaría en el cumplimiento de una
obligación legal, y sería responsable de sus decisiones médicas, al dar el apto o no, para
el acceso al lugar de la prestación de trabajo o para los asistentes al recinto.
A este respecto, se debe indicar que, para que QUIRONPREVENCIÓN pueda emitir este
resultado, la reclamada ha realizado antes operaciones de tratamiento de datos
personales, pues ha recogido los datos y ha establecido que sus titulares proporcionen
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
62/96
sus datos de salud a su subencargado de tratamiento que cuenta con su conformidad en
los servicios ofrecidos. La decisión de apto o no, el responsable la conoce porque en el
contrato se establece su comunicación de QUIRONPREVENCIÓN a su encargado, FIRA,
que actúa por cuenta del responsable. Así pues, la reclamada que es quien decidió que
se recogieran y conservasen los datos para facilitar los respectivos accesos durante toda
la duración del evento (asistentes en caso de vacunación) o del montaje (empleados en
caso de vacunación), y similar en cuanto a los certificados de recuperación de la
enfermedad.
Así pues, aunque la tesis de la reclamada de que es QUIRONPREVENCIÓN la
responsable de los tratamientos médicos, prosperase, es la reclamada la que tomó la
decisión sobre que datos médicos debían ser recogidos y con que finalidad y la que
contrató el tratamiento de tales datos de salud de los trabajadores con
QUIRONPREVENCION, por lo que resulta responsable de las infracciones que se
imputan,
Por otro lado, defender que QUIRONPREVENCIÓN sea la responsable del tratamiento,
también porque esta nutriría la historia clínica de cada afectado, cumpliendo un deber
deontológico al tratar directamente con los afectados, choca con que la tarea se limita a
una constatación o verificación de documentos, enviados con el móvil a través de una
plataforma de QUIRONPREVENCIÓN, no estando claro que los empleados de los
proveedores que efectúan el montaje de las instalaciones, ni por extensión los asistentes,
sean pacientes o usuarios de la citada QUIRONPREVENCIÓN, sin que por lo demás
figure prestación de asistencia médica de tipo alguno a estos empleados, y por tanto sin
practicar a los afectados prueba médica alguna.
Sobre la alegación realizada tras la propuesta de que el contenido abierto del contrato
permitió incorporar para QUIRONPREVENCIÓN la realización de tareas o servicios
relacionados con el apoyo a la coordinación de actividades empresariales que perseguían
la prevención de riesgos laborales, no incluidos en el contrato de encargo de tratamiento,
debe indicarse que además de no constar expresa o específicamente aspecto alguno en
el contrato suscrito con QUIRONPREVENCIÓN o sus anexos de tal aspecto, no parece
real dicha labor de coordinación, por cuanto no solo faltaría acreditar la participación de
las empresas a las que se coordina, sino que no se adapta al esquema de
funcionamiento que para la prevención de riesgos laborales prevé la LPRL y su normativa
de desarrollo.
La Ley de Prevención de Riesgos Laborales, como se desprende de la lectura del artículo
24 de la Ley 31/1985, de 8/11, de Prevención de Riesgos Laborales, señala:
“1. Cuando en un mismo centro de trabajo desarrollen actividades trabajadoras de dos o
más empresas, éstas deberán cooperar en la aplicación de la normativa sobre
prevención de riesgos laborales. A tal fin, establecerán los medios de coordinación que
sean necesarios en cuanto a la protección y prevención de riesgos laborales y la
información sobre los mismos a sus respectivos trabajadores, en los términos previstos
en el apartado 1 del artículo 18 de esta ley.
2. El empresario titular del centro de trabajo adoptará las medidas necesarias para que
aquellos otros empresarios que desarrollen actividades en su centro de trabajo reciban la
información y las instrucciones adecuadas, en relación con los riesgos existentes en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
63/96
centro de trabajo y con las medidas de protección y prevención correspondientes, así
como sobre las medidas de emergencia a aplicar, para su traslado a sus respectivos
trabajadores.
3. Las empresas que contraten o subcontraten con otras la realización de obras o
servicios correspondientes a la propia actividad de aquéllas y que se desarrollen en sus
propios centros de trabajo deberán vigilar el cumplimiento por dichos contratistas y
subcontratistas de la normativa de prevención de riesgos laborales.
4. Las obligaciones consignadas en el último párrafo del apartado 1 del artículo 41 de
esta Ley serán también de aplicación, respecto de las operaciones contratadas, en los
supuestos en que los trabajadores de la empresa contratista o subcontratista no presten
servicios en los centros de trabajo de la empresa principal, siempre que tales
trabajadores deban operar con maquinaria, equipos, productos, materias primas o útiles
proporcionados por la empresa principal.”
La información sobre las vacunas y el resto de los documentos COVID que los
empleados debía aportar o se acredita que fueran producto de esa actividad de
coordinación, y si resulta probado que fueron aportados por los empleados si querían
prestar sus servicios, ejercer su derecho al trabajo en la sede física donde se iba a
realizar el evento. Por otro lado, el papel de coordinador de actividades empresariales no
puede incluir la toma de decisiones individuales sobre medidas de prevención que s e
han de adoptar, como aclara la previsión del artículo 24 de la LPRL, que prevé acciones
por parte de los implicados “cooperarán”, “establecerán medios de coordinación” por
parte del empresario titular del centro de trabajo y de las empresas que concurran en el
mismo espacio del centro de trabajo.
Así pues, no se puede aceptar esta tesis de que se desarrollaron actuaciones de
coordinación en cuestión de riesgos laborales que implicaban el tratamiento objeto de
discusión.
Por otro lado, sobre la alegación de que “la normativa de prevención de riesgos laborales
ofrece una doble legitimación para solicitar datos de salud a los visitantes y a los
trabajadores que prestan servicios en el recinto ferial”, no tiene apoyo en ninguna norma.
La normativa de prevención de riesgos laborales en ningún modo habilita la obtención y
conservación de los datos de salud de personas que no son empleadas del empresario.
En cuanto al tratamiento de los datos de los empleados, la posición que defiende la
reclamada en sus alegaciones pretendiendo que el tratamiento de los datos sanitarios de
los trabajadores se justifica en el cumplimiento de prevención de riesgos laborales, parte
también de varios errores graves.
Así, por lo que respecta a la obligación de “vigilancia de la salud”, el artículo 22 de la
LPRL indica:
“1. El empresario garantizará a los trabajadores a su servicio la vigilancia periódica de su
estado de salud en función de los riesgos inherentes al trabajo.
Esta vigilancia sólo podrá llevarse a cabo cuando el trabajador preste su consentimiento.
De este carácter voluntario sólo se exceptuarán, previo informe de los representantes de
los trabajadores, los supuestos en los que la realización de los reconocimientos sea
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
64/96
imprescindible para evaluar los efectos de las condiciones de trabajo sobre la salud de
los trabajadores o para verificar si el estado de salud del trabajador puede constituir un
peligro para el mismo, para los demás trabajadores o para otras personas relacionadas
con la empresa o cuando así esté establecido en una disposición legal en relación con la
protección de riesgos específicos y actividades de especial peligrosidad.
En todo caso se deberá optar por la realización de aquellos reconocimientos o pruebas
que causen las menores molestias al trabajador y que sean proporcionales al riesgo.
2. Las medidas de vigilancia y control de la salud de los trabajadores se llevarán a cabo
respetando siempre el derecho a la intimidad y a la dignidad de la persona del trabajador
y la confidencialidad de toda la información relacionada con su estado de salud.
3. Los resultados de la vigilancia a que se refiere el apartado anterior serán comunicados
a los trabajadores afectados.
4. Los datos relativos a la vigilancia de la salud de los trabajadores no podrán ser usados
con fines discriminatorios ni en perjuicio del trabajador.
El acceso a la información médica de carácter personal se limitará al personal médico y a
las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores,
sin que pueda facilitarse al empresario o a otras personas sin consentimiento expreso del
trabajador.
No obstante, lo anterior, el empresario y las personas u órganos con responsabilidades
en materia de prevención serán informados de las conclusiones que se deriven de los
reconocimientos efectuados en relación con la aptitud del trabajador para el desempeño
del puesto de trabajo o con la necesidad de introducir o mejorar las medidas de
protección y prevención, a fin de que puedan desarrollar correctamente sus funciones en
materia preventiva.
4. En los supuestos en que la naturaleza de los riesgos inherentes al trabajo lo haga
necesario, el derecho de los trabajadores a la vigilancia periódica de su estado de salud
deberá ser prolongado más allá de la finalización de la relación laboral, en los términos
que reglamentariamente se determinen.
6. Las medidas de vigilancia y control de la salud de los trabajadores se llevarán a cabo
por personal sanitario con competencia técnica, formación y capacidad acreditada.” (El
subrayado es nuestro)
Los principios que informan esa disposición son aplicables al caso que nos ocupa. A tenor
de esa disposición, la reclamada podría haber concluido con facilidad que la LPRL no le
habilitaba a obtener la información solicitada a los empleados. Del examen de este
artículo se desprende con claridad que la vigilancia de la salud por parte de los servicios
de prevención es, con carácter general, voluntario, salvo los supuestos tasados.
Las excepciones a la voluntariedad han de ser interpretadas de modo estricto y limitarse
a aquellos casos exclusivos y particulares en que la vigilancia de salud sea estrictamente
necesaria. El examen de salud obligatorio debe ser imprescindible para salvaguardar la
salud de los trabajadores, lo que en este caso no se producía al existir otras medidas de
prevención que suponían menor injerencia en los derechos de los trabajadores. A lo que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
65/96
hay que añadir que no puede establecerse con carácter general y de modo
indiscriminado como medida preventiva obligatoria, el examen de salud de todos los
trabajadores.
Sobre esta última cuestión, se debe indicar que tampoco se acredita que empresa alguna
de las categorías de proveedores que utilizaban a sus empleados para el montaje del
recinto en la FIRA no tuviera concertado algún tipo de servicio de prevención para sus
empleados, dirigido o centrado a los accesos al recinto y la COVID-19.
En definitiva, la LPRL le ofrecía información suficiente a la reclamada para conocer que el
tratamiento que pretendía llevar a cao no era conforme con sus alegaciones.
La LPRL le ofrecía información suficiente a la reclamada para conocer que el tratamiento
que pretendía llevar a cabo no era conforme con sus disposiciones. reguladoras
V Obligación incumplida del art 9 RGPD
El considerando 51 del RGPD indica expresamente que, ”además de los requisitos
específicos” aplicables al tratamiento de datos “particularmente sensibles”, enunciados en
el artículo 9, apartados dos y tres, de ese reglamento, sin perjuicio de las medidas que,
en su caso, adopte un Estado miembro sobre la base del apartado cuatro de este
artículo, deben aplicarse también a tal tratamiento “los principios generales y otras
normas de dicho reglamento, sobre todo en lo que se refiere a las condiciones de licitud
del tratamiento”, tal como se desprenden del artículo 6 del mismo reglamento.
En este caso, como ya se ha señalado, por ser los datos de salud objeto del tratamiento
considerados de carácter especial, requieren de una causa pertinente que levante su
prohibición para posibilitar su tratamiento. Por ello además de la legitimación del artículo
6.1 del RPD, debe existir una cobertura en el artículo 9.2 RGPD que salve la prohibición
general prevista en el artículo 9.1.
El artículo 9 del RGPD,” Tratamiento de categorías especiales de datos personales”,
dispone:
“1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o
racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación
sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de
manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida
sexual o las orientaciones sexuales de una persona física.
2.El apartado 1 no será de aplicación cuando concurra una de las circunstancias
siguientes (solo se citan las que eventualmente pudieran tener relación con la finalidad o
actividad de tratamiento de este caso)
“a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos
personales con uno o más de los fines especificados, excepto cuando el Derecho de la
Unión o de los Estados miembros establezca que la prohibición mencionada en el
apartado 1 no puede ser levantada por el interesado;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
66/96
a) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de
derechos específicos del responsable del tratamiento o del interesado en el ámbito del
Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice
el Derecho de la Unión, de los Estados miembros o un convenio colectivo con arreglo al
Derecho de los Estados miembros que establezca garantías adecuadas del respeto de
los derechos fundamentales y de los intereses del interesado;
b) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física, en el supuesto de que el interesado no esté capacitado, física o
jurídicamente, para dar su consentimiento;
[…]
g) el tratamiento es necesario por razones de un interés público esencial, sobre la base
del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al
objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y
establecer medidas adecuadas y específicas para proteger los intereses y derechos
fundamentales del interesado;
h) el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de
la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o
tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia
sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en
virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y
garantías contempladas en el apartado 3;
i) el tratamiento es necesario por razones de interés público en el ámbito de la salud
pública, como la protección frente a amenazas transfronterizas graves para la salud, o
para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de
los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los
Estados miembros que establezca medidas adecuadas y específicas para proteger los
derechos y libertades del interesado, en particular el secreto profesional,
[…]
3.Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados
en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a
la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el
Derecho de la Unión o de los Estados miembros o con las normas establecidas por los
organismos nacionales competentes, o por cualquier otra persona sujeta también a la
obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros
o de las normas establecidas por los organismos nacionales competentes.
4.Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive
limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos
relativos a la salud.”
Los supuestos excepcionales que se contemplan en el art. 9 del RGPD prevén unos
estrictos requisitos para posibilitar finalmente la puesta en funcionamiento del tratamiento,
debido a los riesgos que la afectación a los derechos y libertades fundamentales puede
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
67/96
entrañar su tratamiento. En este caso, podría afectar al derecho fundamental a la salud y
a la integridad física de los trabajadores. Estas circunstancias deben ser interpretadas de
modo restrictivo, pues el tratamiento de datos especiales está prohibido, y como toda
excepción debe ser interpretada de modo estricto. [sentencia de 4/07/2023, Meta
Platforms y otros (Condiciones generales del servicio de una red social), C-
252/21, EU:C:2023:537, apartado 76].
El informe del Gabinete Jurídico 17/2020, de 12/03/2020, indicaba: “Sin perjuicio de lo
anterior, la propia normativa de protección de datos personales (Reglamento (UE)
2016/679 del Parlamento Europeo y del Consejo de 27/04/2016, relativo a la protección
de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento
general de protección de datos, RGPD) contiene las salvaguardas y reglas necesarias
para permitir legítimamente los tratamientos de datos personales en situaciones, como la
presente, en que existe una emergencia sanitaria de alcance general. Por ello, al
aplicarse dichos preceptos previstos para estos casos en el RGPD, en consonancia con
la normativa sectorial aplicable en el ámbito de la salud pública, las consideraciones
relacionadas con la protección de datos -dentro de los límites previstos por las leyes- no
deberían utilizarse para obstaculizar o limitar la efectividad de las medidas que adopten
las autoridades, especialmente las sanitarias, en la lucha contra la epidemia, por cuanto
ya la normativa de protección de datos personales contiene una regulación para dichos
casos que compatibiliza y pondera los intereses y derechos en liza para el bien común.”
La propia normativa de protección de datos personales permite que, en situaciones de
emergencia, para la protección de intereses esenciales de salud pública y/o vitales de las
personas físicas, puedan tratarse los datos de salud necesarios para evitar la
propagación de la enfermedad que ha causado la emergencia sanitaria.
Los Considerandos 10, 52 a 54 del RGPD respecto del tratamiento de categorías
especiales de datos disponen lo siguiente:
(10) (…). El presente Reglamento reconoce también un margen de maniobra para que
los Estados miembros especifiquen sus normas, inclusive para el tratamiento de
categorías especiales de datos personales («datos sensibles»). En este sentido, el
presente Reglamento no excluye el Derecho de los Estados miembros que determina las
circunstancias relativas a situaciones específicas de tratamiento, incluida la indicación
pormenorizada de las condiciones en las que el tratamiento de datos personales es lícito
(52) Asimismo deben autorizarse excepciones a la prohibición de tratar categorías
especiales de datos personales cuando lo establezca el Derecho de la Unión o de los
Estados miembros y siempre que se den las garantías apropiadas, a fin de proteger
datos personales y otros derechos fundamentales, cuando sea en interés público, en
particular el tratamiento de datos personales en el ámbito de la legislación laboral, la
legislación sobre protección social, incluidas las pensiones y con fines de seguridad,
supervisión y alerta sanitaria, la prevención o control de enfermedades transmisibles y
otras amenazas graves para la salud. Tal excepción es posible para fines en el ámbito de
la salud, incluidas la sanidad pública y la gestión de los servicios de asistencia sanitaria,
especialmente con el fin de garantizar la calidad y la rentabilidad de los procedimientos
utilizados para resolver las reclamaciones de prestaciones y de servicios en el régimen
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
68/96
del seguro de enfermedad, o con fines de archivo en interés público, fines de
investigación científica e histórica o fines estadísticos. Debe autorizarse asimismo a título
excepcional el tratamiento de dichos datos personales cuando sea necesario para la
formulación, el ejercicio o la defensa de reclamaciones, ya sea por un procedimiento
judicial o un procedimiento administrativo o extrajudicial.
(53) Las categorías especiales de datos personales que merecen mayor protección
únicamente deben tratarse con fines relacionados con la salud cuando sea necesario
para lograr dichos fines en beneficio de las personas físicas y de la sociedad en su
conjunto, en particular en el contexto de la gestión de los servicios y sistemas sanitarios o
de protección social, incluido el tratamiento de esos datos por las autoridades gestoras
de la sanidad y las autoridades sanitarias nacionales centrales con fines de control de
calidad, gestión de la información y supervisión general nacional y local del sistema
sanitario o de protección social, y garantía de la continuidad de la asistencia sanitaria o la
protección social y la asistencia sanitaria transfronteriza o fines de seguridad, supervisión
y alerta sanitaria, o con fines de archivo en interés público, fines de investigación
científica o histórica o fines estadísticos, basados en el Derecho de la Unión o del Estado
miembro que ha de cumplir un objetivo de interés público, así como para estudios
realizados en interés público en el ámbito de la salud pública. Por tanto, el presente
Reglamento debe establecer condiciones armonizadas para el tratamiento de categorías
especiales de datos personales relativos a la salud, en relación con necesidades
específicas, en particular si el tratamiento de esos datos lo realizan, con fines
relacionados con la salud, personas sujetas a la obligación legal de secreto profesional.
El Derecho de la Unión o de los Estados miembros debe establecer medidas específicas
y adecuadas para proteger los derechos fundamentales y los datos personales de las
personas físicas. Los Estados miembros deben estar facultados para mantener o
introducir otras condiciones, incluidas limitaciones, con respecto al tratamiento de datos
genéticos, datos biométricos o datos relativos a la salud. (…)
(54) El tratamiento de categorías especiales de datos personales, sin el consentimiento
del interesado, puede ser necesario por razones de interés público en el ámbito de la
salud pública. Ese tratamiento debe estar sujeto a medidas adecuadas y específicas a fin
de proteger los derechos y libertades de las personas físicas. En ese contexto, «salud
pública» debe interpretarse en la definición del Reglamento (CE) n.o 1338/2008 del
Parlamento Europeo y del Consejo (11), es decir, todos los elementos relacionados con la
salud, concretamente el estado de salud, con inclusión de la morbilidad y la
discapacidad, los determinantes que influyen en dicho estado de salud, las necesidades
de asistencia sanitaria, los recursos asignados a la asistencia sanitaria, la puesta a
disposición de asistencia sanitaria y el acceso universal a ella, así como los gastos y la
financiación de la asistencia sanitaria, y las causas de mortalidad. (…)
Por tanto, de lo indicado, como recoge el informe jurídico 0055/2023,”se extrae la
conclusión de que si bien el RGPD establece unos supuestos que excepcionan la
prohibición de tratamiento de categorías especiales de datos, a través del derecho de los
Estados miembros se pueden introducirse regulaciones ad hoc a fin de adaptar la
realidad de los sectores implicados para garantizar una protección efectiva de los
derechos de los ciudadanos de la Unión”.
A lo anterior ha de añadirse lo dispuesto en el artículo 9.2 de la LOPDGDD, que indica lo
siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
69/96
“2. Los tratamientos de datos contemplados en las letras g), h) e i) del artículo 9.2 del
Reglamento (UE) 2016/679 fundados en el Derecho español deberán estar amparados
en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su
seguridad y confidencialidad.
En particular, dicha norma podrá amparar el tratamiento de datos en el ámbito de la salud
cuando así lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social,
pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte.”
El requisito de que cualquier limitación del ejercicio de los derechos fundamentales como
indica el apartado 175 de la STJUE de 16/07/2020, asunto C- 311/20, “Schrems 2” deba
ser establecida por ley, “implica que la base legal que permita la injerencia en dichos
derechos debe definir ella misma el alcance de la limitación del ejercicio del derecho de
que se trate”. Es la ley, por tanto, la que ha de establecer el alcance de la injerencia en el
derecho fundamental a la Protección de Datos, así como a las garantías que protejan los
derechos y libertades de las personas.
Dicho lo anterior, procede analizar cada una de las excepciones a la prohibición de tratar
datos de salud que según la reclamada concurrirían en el tratamiento objeto de examen.
La reclamada considera que concurre la excepción prevista en el artículo 9.2.g) del
RGPD.
Para la activación de le excepción planteada en el artículo 9.2.g) del RGPD, la reclamada
alude al PLAN DE SALUD Y SEGURIDAD PARA EL MWC 2022, como el que contiene la
necesidad del tratamiento por razones de un interés público esencial, y a las resoluciones
dictadas por las autoridades sanitarias.
La excepción prevista en el artículo 9.2.g) del RGPD, exige que la norma que declare el
interés público esencial proceda de los Estados miembros o del derecho de la Unión, y,
además:
-debe ser proporcional al objetivo perseguido,
-respetar en lo esencial el derecho a la protección de datos,
-establecer medidas adecuadas y específicas para proteger los intereses y derechos
fundamentales del interesado.
El Considerando (54) RGPD es claro, cuando establece que:
“El tratamiento de categorías especiales de datos personales, sin el consentimiento del
interesado, puede ser necesario por razones de interés público en el ámbito de la salud
pública. Ese tratamiento debe estar sujeto a medidas adecuadas y específicas a fin de
proteger los derechos y libertades de las personas físicas”
Sobre el Plan al que alude la reclamada, es distinto al PLAN SECTORIAL DE FERIAS Y
CONGRESOS, y tampoco parece consistir o coincidir con las medidas implantadas por el
Plan GSMA ”Comunidad Comprometida” que se ha desarrollado y aprobado por
autoridades catalanas y españolas, incluyendo las de salud. En todo caso, no se ha
aportado ningún Plan que hubiera concertado la reclamada con las autoridades, de modo
que no se conoce su contenido, pero se conoce que no sería una norma con rango de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
70/96
Ley o derivada de facultades que atribuya una Ley, vinculante para los destinatarios de
las mismas.
Según la reclamada, el Plan “requiere a GSMA a recoger los datos personales objeto de
la reclamación, entre ellos los certificados de vacunación o prueba diagnóstica”,” datos
COVID”, y fue “elaborado en coordinación con las autoridades sanitarias.” lo cual
tampoco identifica su rango normativo.
Considerando que la restricción del derecho fundamental a la protección de datos
personales no puede estar basada, por sí sola, en la invocación genérica de un
indeterminado “interés público”, y que ”Es el legislador quien debe determinar cuándo
concurre ese bien o derecho que justifica la restricción del derecho a la protección de
datos personales y en qué circunstancias puede limitarse y, además, es él quien debe
hacerlo mediante reglas precisas que hagan previsible al interesado la imposición de tal
limitación y sus consecuencias” (sentencia Tribunal Constitucional 292/2000), se ha de
concluir que amén de contradictorias manifestaciones sobre el citado Plan o Planes, ya
que cita por un lado el “Plan de Salud y Seguridad para el MWC22” que se anuncia y se
desarrolla en el tiempo, y el “plan Comunidad Comprometida” (“Commited Community
Plan”), desconociéndose si son los mismos, ya que en ambos refiere que se han
desarrollado y aprobado por autoridades sanitarias, ninguno de ellos constituiría una
norma de derecho europeo o nacional y con las garantías necesarias. En consecuencia,
la reclamada no quedaría habilitada para el tratamiento de datos de salud mediante los
datos de vacunación de los empleados de los proveedores,
En definitiva, se considera que no concurren las circunstancias del artículo 9.2.g) del
RGPD alegadas por la reclamada para el tratamiento de los datos de salud de los
empleados del montaje del MWC 22.
La otra circunstancia alegada, si bien no contenida en la EIPD de 22/04/2022, sería la
prevista en el artículo 9.2.i) del RGPD, que también refiere un interés público “en el
ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves
para la salud”, también se añade que ha de ser “sobre la base del derecho de la Unión o
de los Estados miembros, que establezca medidas adecuadas y específicas para
proteger los derechos y libertades del interesado”.
Para este caso concreto, tampoco se cita cual es la base del derecho que soportaría el
mencionado interés público en el ámbito de salud pública, y los Planes concertados con
las autoridades públicas no cubren este requisito. Tampoco se recoge en las resoluciones
de las autoridades sanitarias vigentes durante el tratamiento de los datos, de modo que
no existe una norma que exprese un interés público en el ámbito de la salud pública ni
que establezca el citado tratamiento de datos personales de la vacunación, PCR negativo
o certificado de recuperación de la enfermedad.
En las alegaciones a la propuesta la reclamada integra una nueva causa de excepción a
la prohibición con la que pretende, mediante su aplicación, habilitar el tratamiento de
estos datos de salud, citando el artículo 9.2.h) del RGPD.
Sin embargo, no consta que, en este caso, los datos de salud se tratarán con fines de
prevención de la salud de los riesgos laborales, al no intervenir las empresas que
contrataron con los empleados, que eran las que realizaban labores de montaje en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
71/96
recinto del evento que organizaba la reclamada. Como ya se ha señalado, los servicios
contratados por la reclamada, a través de su encargado FIRA, se limitaban a que
QUIRONPREVENCIÓN verificara la documentación aportada por los empleados, sin que
prestara asistencia médica de ningún tipo y sin que los trabajadores prestarán su
consentimiento. Por tanto, no pudiendo ser catalogada ni de Medicina preventiva, ni
laboral, por cuanto los proveedores no fueron los que tomaron la decisión acerca de la
comunicación de los datos de sus empleados, ni los empleados dieron su
consentimiento.,
Además, hay que tener en cuenta que el artículo 9.2. h) del RGPD, se refiere al
tratamiento “necesario” para fines de medicina preventiva o laboral, evaluación de la
capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o
tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia
sanitaria y social, sobre la base del derecho de la Unión o de los Estados miembros, o en
virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y
garantías contempladas en el apartado 3.
El término “necesario” que utiliza el RGPD tiene, a juicio del TJUE, un significado propio e
independiente en la legislación comunitaria. Se trata, dice el tribunal, de un concepto
autónomo del derecho comunitario (STJUE de 16/12/2008, asunto C- 524 /06, apartado
52). De otra parte, el Tribunal Europeo de Derechos Humanos (TEDH) ha ofrecido
también directrices para interpretar el concepto de necesidad. En el apartado de 27 de su
sentencia de 25/03/1983, afirma que el “adjetivo necesario no es sinónimo de
indispensable ni tiene la flexibilidad de las expresiones admisible, ordinario, útil,
razonable o deseable.”
Al evaluar qué es “necesario”, debe realizarse una valoración basada en el objetivo que
se persigue, evaluando si existen tratamientos menos intrusivos para conseguir el mismo
objetivo. Si existen otras alternativas realistas y menos intrusivas, el tratamiento no es
“necesario”.
En este caso, se ha de concluir que el tratamiento no era necesario para los fines que se
perseguían de prevención de la salud de los trabajadores, al existir otras alternativas
menos intrusivas que no ponían en riesgo los derechos y libertades de los trabajadores
como proporcionar a los trabajadores los equipos de protección adecuados al nivel del
riesgo
Por esta razón, ninguna de las excepciones citadas se estima suficiente para levantar la
prohibición del tratamiento de datos especiales de salud, por lo que se considera
infringido el artículo 9 del RGPD.
VI Obligación incumplida del art. 6.1 RGPD
Resulta conveniente recordar que todo tratamiento de datos personales debe ser
conforme, por una parte, con los principios relativos al tratamiento de datos enunciados
en el artículo 5 del RGPD y, por otra, con alguna de las bases de licitud el del tratamiento
enumerados en el artículo 6 de dicho Reglamento (véase, en este sentido, la sentencia
de 16 de enero de 2019, Deutsche Post, C-496/17, EU:C:2019:26, apartado 57 y
jurisprudencia citada).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
72/96
Juega un rol decisivo, la finalidad en su recogida y tratamiento, al significar el artículo 5.1
b) del RGPD, que “Los datos personales serán: recogidos con fines determinados,
explícitos y legítimos” “… y no serán tratados ulteriormente de manera incompatible con
dichos fines”.
El artículo 6 del RGPD, bajo la rúbrica ”Licitud del tratamiento”, concreta en su apartado 1
los supuestos en los que el tratamiento de datos personales es considerado lícito:
“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para
uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es
parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física.
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por
el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado que
requieran la protección de datos personales, en particular cuando el interesado sea un
niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.”
La reclamada ha manifestado que las bases que dan amparo al tratamiento objeto de la
reclamación podrían ser dos. Por un lado, la del artículo 6.1.c) del RGPD, que se
encuentra relacionada con los dos considerandos siguientes:
“(41) Cuando el presente Reglamento hace referencia a una base jurídica o a una
medida legislativa, esto no exige necesariamente un acto legislativo adoptado por un
parlamento, sin perjuicio de los requisitos de conformidad del ordenamiento
constitucional del Estado miembro de que se trate. Sin embargo, dicha base jurídica o
medida legislativa debe ser clara y precisa y su aplicación previsible para sus
destinatarios, de conformidad con la jurisprudencia del Tribunal de Justicia de la Unión
Europea […] y del Tribunal Europeo de Derechos Humanos.
(45) Cuando se realice en cumplimiento de una obligación legal aplicable al responsable
del tratamiento, o si es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos, el tratamiento debe tener una base en el
Derecho de la Unión o de los Estados miembros.”
La obligación legal según al reclamada, se contiene en el Plan desarrollado en
colaboración con autoridades sanitarias, Plan que no ha aportado la reclamada, a pesar
de ser a quien corresponde acreditar que el tratamiento que realiza cuenta con una base
de legitimación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
73/96
También añade que la Ley de Salud Pública de la Comunidad Autónoma de Cataluña,
18/2009, ”puede interferir para proteger la salud”, si bien no se acredita que en aplicación
de la citada ley se hubieran decretado medidas vinculantes aplicables al caso concreto
como las que la reclamada manifiesta estaba obligada a poner en marcha exigiendo
datos de salud a los empleados de los proveedores.
Sobre este particular, hay que tener en cuenta que la LOPDGDD establece en su artículo
8, bajo la denominación: Tratamiento de datos por obligación legal, interés público o
ejercicio de poderes públicos”, lo siguiente:
“1. El tratamiento de datos personales solo podrá considerarse fundado en el
cumplimiento de una obligación legal exigible al responsable, en los términos previstos en
el artículo 6.1.c) del Reglamento (UE) 2016/679, cuando así lo prevea una norma de
Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las
condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las
cesiones que procedan como consecuencia del cumplimiento de la obligación legal.
Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como
la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV
del Reglamento (UE) 2016/679.
2. El tratamiento de datos personales solo podrá considerarse fundado en el
cumplimiento de una misión realizada en interés público o en el ejercicio de poderes
públicos conferidos al responsable, en los términos previstos en el artículo 6.1 e) del
Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma
con rango de ley.”
Por tanto, para la aplicación de la base de legitimación prevista en el art. 6.1.c) del
RGPD, será necesario que una norma con rango de Ley imponga al responsable una
obligación específica que debe cumplir y que no puede eludir.
De lo anterior se desprende que la base legal indicada por la reclamada no se ajusta a
los requisitos que exige la aplicación del artículo 6.1.c) y se debe rechazar, por:
-Un Plan o un acuerdo entre partes, aunque una de ellas fuera con una entidad pública
no es una Ley ni deriva de ella por no ser un instrumento con perfil vinculante. No deja de
ser un acuerdo convencional entre partes que no encuentra acomodo en el derecho
administrativo para vincular al afectado . La obligación como tal, ha de estar
expresamente contenida en una norma con rango de Ley, que ha de cumplir todas las
condiciones pertinentes para que la obligación sea válida y vinculante, incluyendo acatar
la legislación de datos en cuanto a cumplir el requisito de necesidad, proporcionalidad y
limitación de la finalidad.
-La relación que tiene la reclamada con los empleados no es una relación directa sino
mediatizada por el empleador, proveedor de la reclamada, por lo que, en todo caso, el
cumplimiento de las obligaciones legalmente impuestas al empleador incumbirían al
proveedor y no a la reclamada al no existir vínculo directo empleado-reclamada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
74/96
-El responsable del tratamiento no debe poder elegir si cumple o no dicha obligación, los
eventuales acuerdos entre las partes, o los compromisos unilaterales, no estarían
cubiertos por esta base de legitimación.
Además, el artículo 6.3 del RGPD precisa en este caso, que el tratamiento debe basarse
en el derecho de la Unión o en el derecho de los Estados miembros que se aplique al
responsable del tratamiento, y la finalidad del tratamiento deberá quedar determinada en
dicha base legal. El derecho de la Unión o de los Estados miembros cumplirá un objetivo
de interés público y ser proporcional al fin legítimo perseguido. El Plan o acuerdo que
menciona la reclamada que no es aportado, tendría que formar parte del derecho, no un
acuerdo o un Convenio que solo vincularía a las partes en su caso.
En cuanto a las resoluciones de las autoridades administrativas cabe indicar que el
MWC22 se celebró para asistentes del 28/02/2022 al 3/03/2022 y que los datos de salud
de los empleados probablemente se recogieron entre el 23/01/2022 y el 8/03/2022,
aunque el contrato suscrito con QUIRONPREVENCIÓN SLU es de 21/02/2022.
Según se recoge en el hecho probado décimo, las resoluciones de la autoridad sanitaria
aplicables en entre el 23/01/2022 y el 08/03/2022 fueron las siguientes:
RESOLUCIÓN SLT/99/2022, de 26/01, por la que se establecen las medidas en materia
de salud pública para la contención del brote epidémico de la pandemia de COVID-19 en
el territorio de Cataluña.
En esta resolución se levantan las medidas restrictivas de derechos fundamentales que
todavía estaban vigentes, eso es” la limitación de las reuniones y encuentros sociales a
un máximo de diez personas, la limitación en el aforo de las actividades religiosas, y el
requisito del certificado COVID para el acceso a determinadas actividades no esenciales
en espacios cerrados (restauración, salas de actividad física y/o deportiva, gimnasios y
actividades recreativas musicales permitidas: salas de concierto, cafés teatro, cafés
concierto y restaurantes musicales).”
En el apartado 2.1”Medidas de protección individual y colectiva” se establece”(…)”Tanto
en espacios cerrados como al aire libre, excepto para grupos de personas convivientes,
la distancia física interpersonal de seguridad se establece en 1,5 m, en general, con el
equivalente a un espacio de seguridad de 2,5 m2 por persona, a menos que sean
vigentes para la tipología de la actividad valores más restrictivos. Cuando el desarrollo de
la actividad no permita mantener la distancia física interpersonal de seguridad se tienen
que adoptar las medidas de higiene y organizativas adecuadas para prevenir los riesgos
de contagio.
En los espacios al aire libre en que por la aglomeración de personas no sea posible
mantener la distancia física interpersonal de seguridad, es obligatorio el uso de
mascarilla en los términos establecidos en el apartado 2.3 de esta Resolución”.
En cuanto a las “Medidas de prevención e higiene en centros de trabajo” en el punto 3.4,
apartado 2, se determina “Sin perjuicio del cumplimiento de la normativa de prevención
de riesgos laborales y del resto de normativa laboral aplicable, las personas titulares de
centros de trabajo, públicos y privados tienen que adoptar, en los centros de trabajo,
entre otras, las siguientes medidas:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
75/96
a) Adoptar medidas organizativas en las condiciones de trabajo, de forma que se
garantice el mantenimiento de la distancia de seguridad interpersonal mínima. Y, cuando
esto no sea posible, tienen que proporcionarse a las personas trabajadoras los equipos
de protección adecuados al nivel del riesgo.”
(…)”
RESOLUCIÓN SLT/177/2022, de 2/02, por la que se establecen las medidas en materia
de salud pública para la contención del brote epidémico de la pandemia de COVID-19 en
el territorio de Cataluña,
En relación con las “Medidas de protección individual y colectiva” indica en su punto 2.1
“1.(…) Tanto en espacios cerrados como al aire libre, excepto para grupos de personas
convivientes, la distancia de seguridad se establece en 1,5 metros, en general, con el
equivalente a un espacio de seguridad de 2,5 metros cuadrados por persona, a menos
que sean vigentes para la tipología de la actividad valores más restrictivos. Cuando el
desarrollo de la actividad no permita mantener la distancia de seguridad se tienen que
adoptar las medidas de higiene y organizativas adecuadas para prevenir los riesgos de
contagio.
2. El deber de protección establecido en el epígrafe 1 es igualmente exigible a las
personas titulares de cualquier actividad económica, empresarial o establecimiento de
uso público o que se encuentre abierto al público, en los términos de las normas
organizativas, de higiene y de prevención establecidas en esta Resolución y, en su caso,
del correspondiente plan sectorial o protocolo organizativo. (…)”
RESOLUCIÓN SLT/254/2022, de 9/02, por la que se modifica la Resolución
SLT/177/2022, de 2/02, por la que se establecen las medidas en materia de salud pública
para la contención del brote epidémico de la pandemia de COVID-19 en el territorio de
Cataluña
Igualmente recoge «2.1 Medidas de protección individual y colectiva
1. La ciudadanía debe adoptar las medidas necesarias para evitar la generación de
riesgos de propagación de la infección por el SARS-CoV-2, así como la misma
exposición a estos riesgos, y debe adoptar las medidas de protección individual y
colectiva fundamentadas en: la higiene frecuente de manos; la higiene de síntomas
respiratorios (evitar toser directamente al aire, taparse la boca con la cara interna del
antebrazo en estos casos y evitar tocarse la cara, la nariz y los ojos); la distancia de
seguridad; el uso de mascarilla en los términos que establece el apartado 2.3 de esta
Resolución; la preferencia por los espacios al aire libre para la realización de actividades;
la ventilación correcta de los espacios cerrados, y la limpieza y desinfección de las
superficies.
Tanto en espacios cerrados como al aire libre, excepto para grupos de personas
convivientes, la distancia de seguridad se establece en 1,5 metros, en general, con el
equivalente a un espacio de seguridad de 2,5 metros cuadrados por persona, a menos
que sean vigentes para la tipología de la actividad valores más restrictivos. Cuando el
desarrollo de la actividad no permita mantener la distancia de seguridad se tienen que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
76/96
adoptar las medidas de higiene y organizativas adecuadas para prevenir los riesgos de
contagio.»
Esta resolución no modifica las medidas específicas de prevención e higiene en centros
de trabajo de la RESOLUCIÓN SLT/177/2022, de 2/02.
RESOLUCIÓN SLT/342/2022, de 16/02, por la que se establecen las medidas en materia
de salud pública para la contención del brote epidémico de la pandemia de COVID-19 en
el territorio de Cataluña
También recoge en el punto 2.1”Medidas de protección individual y colectiva
1. La ciudadanía debe adoptar las medidas necesarias para evitar la generación de
riesgos de propagación de la infección por el SARS-CoV-2, así como la propia exposición
a estos riesgos, y debe adoptar las medidas de protección individual y colectiva
fundamentadas en: la higiene frecuente de manos; la higiene de síntomas respiratorios
(evitar toser directamente al aire, taparse la boca con la cara interna del antebrazo en
estos casos y evitar tocarse la cara, la nariz y los ojos); la distancia de seguridad; el uso
de mascarilla en los términos que establece el apartado 2.3 de esta Resolución; la
preferencia por los espacios al aire libre para la realización de actividades; la correcta
ventilación de los espacios cerrados, y la limpieza y desinfección de las superficies.
Tanto en espacios cerrados como al aire libre, excepto para grupos de personas
convivientes, la distancia de seguridad se establece en 1,5 metros, por lo general, con el
equivalente a un espacio de seguridad de 2,5 metros cuadrados por persona, salvo que
estén vigentes para la tipología de la actividad valores más restrictivos. Cuando el
desarrollo de la actividad no permita mantener la distancia de seguridad deben adoptarse
las medidas de higiene y organizativas adecuadas para prevenir los riesgos de contagio.”
RESOLUCIÓN SLT/541/2022, de 2/03, por la que se establecen las medidas en materia
de salud pública para la contención del brote epidémico de la pandemia de COVID-19 en
el territorio de Cataluña
Establece en su punto 2.1”Medidas de protección individual y colectiva
1. La ciudadanía debe adoptar las medidas necesarias para evitar la generación de
riesgos de propagación de la infección por el SARS-CoV-2, así como la propia exposición
a estos riesgos, y debe adoptar las medidas de protección individual y colectiva
fundamentadas en: la higiene frecuente de manos; la higiene de síntomas respiratorios
(evitar toser directamente al aire, taparse la boca con la cara interna del antebrazo en
estos casos y evitar tocarse la cara, la nariz y los ojos); la distancia de seguridad; el uso
de mascarilla en los términos que establece el apartado 2.3 de esta Resolución; la
preferencia por los espacios al aire libre para la realización de actividades; la correcta
ventilación de los espacios cerrados, y la limpieza y desinfección de las superficies.
Tanto en espacios cerrados como al aire libre, excepto para grupos de personas
convivientes, la distancia de seguridad se establece en 1,5 metros, por lo general, con el
equivalente a un espacio de seguridad de 2,5 metros cuadrados por persona, salvo que
estén vigentes para la tipología de la actividad valores más restrictivos. Cuando el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
77/96
desarrollo de la actividad no permita mantener la distancia de seguridad deben adoptarse
las medidas de higiene y organizativas adecuadas para prevenir los riesgos de contagio.
(…)”
Por tanto, teniendo en cuenta lo que se acaba de indicar, la base jurídica para llevar a
cabo el tratamiento de los datos de salud de los trabajadores no puede ser la prevista en
el art. 6.1.c) RGPD, pues no existía ninguna norma que impusiera a la reclamada la
obligación de tratar tales datos de salud. Es más, las previsiones que se recogían en
relación con la prevención de riesgos laborales ya incluían la medida adecuada que debía
adoptarse: proporcionar a los trabajadores los equipos de protección adecuados al nivel
del riesgo.
Por otro lado, también considera la reclamada aplicable la base del artículo 6.1
d)”necesario para proteger intereses vitales del interesado o de otra persona física”.
Esta base abarca situaciones en las que el tratamiento es necesario para proteger un
interés esencial para la vida del interesado o el de otra persona física, que podrían ser los
asistentes al evento, incluyendo los trabajadores.
El considerando (46) señala:” El tratamiento de datos personales también debe
considerarse lícito cuando sea necesario para proteger un interés esencial para la vida
del interesado o la de otra persona física. En principio, los datos personales únicamente
deben tratarse sobre la base del interés vital de otra persona física cuando el tratamiento
no pueda basarse manifiestamente en una base jurídica diferente. Ciertos tipos de
tratamiento pueden responder tanto a motivos importantes de interés público como a los
intereses vitales del interesado, como por ejemplo cuando el tratamiento es necesario
para fines humanitarios, incluido el control de epidemias y su propagación, o en
situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de
origen humano.
El concepto de «interés vital» parece limitar la aplicación de este fundamento jurídico a
cuestiones de vida o muerte, o como mínimo, a amenazas que supongan un riesgo de
lesiones u otro daño para la salud del interesado, según se indica en el apartado III.2.4
del Dictamen 6/2014 del concepto de interés legítimo del responsable del tratamiento de
los datos en virtud del artículo 7 de la directiva 95/46/CE, cuyo artículo 7.d) era
equivalente al art, 6.1.d) del RGPD:” el objetivo de este fundamento jurídico es «proteger
un interés esencial para la vida del interesado». No obstante, la Directiva no especifica
de manera precisa si la amenaza debe ser inmediata. Esto plantea cuestiones relativas al
ámbito de la recopilación de los datos, por ejemplo, si se trata de una medida preventiva
o a gran escala, tales como la recopilación de los datos de los pasajeros de una línea
aérea cuando existe un riesgo de enfermedad epidemiológica o se ha detectado un
incidente de seguridad.”
Por otro lado, hay que tener en cuenta que el artículo 9.2 c) del RGPD, resulta de
aplicación para levantar la prohibición de tratar datos especiales, como el de salud,
cuando “el tratamiento es necesario para proteger intereses vitales del interesado o de
otra persona física, en el supuesto de que el interesado no esté capacitado, física o
jurídicamente, para dar su consentimiento;”. Por tanto, el artículo 6.1.d) del RGPD, no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
78/96
resulta suficiente para el tratamiento de datos de salud, siendo necesario que además
concurra esta excepción del art. 9.2.c) del RGPD.
Si bien el artículo 6.1.d) del RGPD, no limita el uso del fundamento jurídico a situaciones
en las que el consentimiento no pueda darse, como sí se especifica en el artículo 9.2.c),
del considerando 46 del RGPD, se desprende que en situaciones en las que exista la
posibilidad de dar un consentimiento válido, éste debe solicitarse. Con lo cual, la
aplicación de esta disposición quedaría limitada a casos en los que el tratamiento no
pueda basarse manifiestamente en una base jurídica diferente sin que pueda utilizarse
para legitimar cualquier recopilación o tratamiento masivo de datos personales.
La STJUE de 4/07/2023, asunto C-252/21, señala sobre esta base:
“135 En segundo lugar, el artículo 6, apartado 1, párrafo primero, letra d), del RGPD
establece que el tratamiento de datos personales será lícito cuando sea necesario para
proteger intereses vitales del interesado o de otra persona física.
136 Como se desprende del considerando 46 del citado Reglamento, esta disposición
contempla la situación particular en la que el tratamiento de datos personales es
necesario para proteger un interés esencial para la vida del interesado o la de otra
persona física. A este respecto, dicho considerando cita en particular, como ejemplo, los
fines humanitarios, como el control de epidemias y su propagación, o en situaciones de
emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen
humano.
137 De estos ejemplos y de la interpretación estricta que ha de aplicarse del artículo 6,
apartado 1, párrafo primero, letra d), del RGPD, se desprende que, a la vista de la
naturaleza de los servicios prestados por el operador de una red social en línea, tal
operador, cuya actividad reviste un carácter esencialmente económico y comercial, no
puede invocar la protección de un interés esencial para la vida de sus usuarios o de otra
persona para justificar, en términos absolutos y de manera puramente abstracta y
preventiva, la licitud de un tratamiento de datos como el controvertido en el litigio
principal.
(…)
139 El artículo 6, apartado 1, párrafo primero, letras d) y e), del RGPD debe interpretarse
en el sentido de que tal tratamiento de datos personales no puede, en principio y sin
perjuicio de la comprobación que haya de efectuar el órgano jurisdiccional remitente,
considerarse necesario para proteger intereses vitales del interesado o de otra persona
física, con arreglo a la letra d), o para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento,
conforme a la letra e).
Así las cosas, el Tribunal considera que esta base de legitimación debe aplicarse en
sentido estricto y sólo cuando el tratamiento sea necesario para proteger intereses
vitales. El requisito de necesidad se analiza den el considerando 39 del RGPD, y de él se
desprende que éste se cumple cuando el objetivo de interés general perseguido no
puede alcanzarse razonablemente con igual eficacia por otros medios menos atentatorios
respecto de los derechos fundamentales de los interesados, en particular respecto de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
79/96
derechos al respeto de la vida privada y de protección de los datos personales.
Por otro lado, considerando que se produce un tratamiento generalizado sobre los datos
de los empleados que, aunque no lo son de la reclamada, sino de sus proveedores,
podría resultar de aplicación el artículo 14 de la Ley 31/1995 de 8/11 de Prevención de
Riesgos Laborales (LPRL), que prevé un deber del empresario de protección de los
trabajadores frente a los riesgos laborales.
La LPRL, prevé la coordinación por parte del empresario titular del centro de trabajo,
cuando en el mismo centro de trabajo desarrollen actividades los trabajadores de dos o
más empresas, Sin embargo, en la EIPD de 22/04/2022, no se valora aspecto alguno del
tratamiento basado en la prevención de riesgos laborales en cuanto a su necesidad y
proporcionalidad.
Como en cualquier sector de actividad, en las fechas en que se iba a celebrar el MWC
2022, existían intereses vitales de colectivos a proteger, o de terceros, pero como indica
el TJUE en la referida sentencia no es posible invocar la protección de un interés esencial
para la vida para justificar, en términos absolutos y de manera puramente abstracta y
preventiva, la licitud de un tratamiento de datos sin acreditar la necesidad de ese
tratamiento. Además, en la situación de emergencia sanitaria eran las autoridades
sanitarias las que iban estableciendo la necesidad de los tratamientos, teniendo en
cuenta la variación de circunstancias con el transcurso del tiempo. En cada momento
dependiendo de las circunstancias sanitarias las autoridades sanitarias determinaban las
medidas aplicables y los sectores de actividad a los que les resultaban de aplicación sin
que resultaran aplicables a cualquier sector o evento. Fueron las autoridades sanitarias
las que implantaron las medidas necesarias para evitar la propagación de la pandemia
sin que durante el tratamiento de los datos controvertido se estableciera la necesidad de
obtener y conservar la documentación COVID. A mayor abundamiento, en las fechas en
las que sí se estableció la necesidad de comprobar la documentación COVID bastaba
con la exhibición de los documentos relativos a los datos de salud sin que se estableciera
la necesidad de su conservación. Considerando que todo tratamiento supone una
injerencia en los derechos de sus titulares, los empleados, la reclamada no acredita la
imprescindible necesidad para proteger el interés vital, de la obligación de registrar el
certificado de vacunación o las PCR. Respecto de esta alternativa que requería el abono
de las pruebas PCR a cargo del empleado, pues solo son válidas durante 72 horas, la
reclamada no ha aportado ninguna ponderación sobre su necesidad y los riesgos de la
medida en relación con los derechos y libertades de los interesados.
Finalmente, se ha de precisar que con carácter general el juicio de necesidad se justifica
en la Evaluación de impacto. Sin embargo, en este caso, no existe un análisis de
necesidad, proporcionalidad e idoneidad de esta medida, al no señalar nada al respecto,
no acreditando mínimamente que la medida sea necesaria para conseguir el fin
perseguido, al no haber realizado tal valoración. La necesidad debe interpretarse en el
sentido de que el tratamiento sea indispensable para proteger el interés vital de las
personas que asistieron al evento o de los trabajadores porque no existe otra medida
menos restrictiva de derechos. Además, tienen que justificar que son indispensables las
operaciones de tratamiento que se realizaron – la recogida, registro y conservación de
certificados- en lugar de su mera exhibición.
Los tratamientos de datos personales en estas situaciones de emergencia sanitaria,
como se ha mencionado, siguen teniendo que ser realizados de conformidad con la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
80/96
normativa de protección de datos personales (RGPD y LOPDGDD). La regulación
específica de las emergencias sanitarias constituye una legislación especial que resulta
de la necesidad, en determinadas circunstancias, de adoptar medidas específicas para
preservar la salud pública y de proteger los derechos a la vida, a la integridad física y a la
salud de las personas, garantizados por el art. 15 y 43 de la Constitución, y puede de
forma proporcionada, justificar determinadas limitaciones al ejercicio de derechos
fundamentales. En este caso la regulación se materializó a través de las normas de salud
pública que preveían salvaguardas de los intereses esenciales afectados, debiendo los
responsables actuar conforme a lo que en las mismas se señalaba.
Alternativamente, la reclamada ha añadido en sus alegaciones a la propuesta una nueva
base jurídica para el tratamiento de los datos de los empleados de los proveedores que
efectúan el montaje de las instalaciones del recinto donde se celebra el congreso con cita
del artículo 6.1.c) del RGPD “el tratamiento es necesario para el cumplimiento de una
obligación legal aplicable al responsable del tratamiento”, considerando ahora “el
cumplimiento de obligaciones legales en materia de prevención de riesgos laborales”,
estimando que la vigilancia de la salud era obligatoria conforme al artículo 22 de la LPRL,
y que la ha llevado a cabo QUIRONPREVENCIÓN.
No obstante, como se ha señalado esta actividad no puede realizarse sin consentimiento
de los trabajadores. Se estima, además, que esta obligación legal correspondería en su
caso, a los empleadores, proveedores, cuyos empleados tienen como contrapeso el
derecho frente a la obligación de aquellos. Pero en ningún caso puede conllevar exigir la
vacunación o la aportación del certificado de recuperación de la enfermedad o la PCR de
forma indiscriminada a todos los trabajadores, ni por tanto justifica exigir los datos de
empleados de proveedores con los que la reclamada no tiene relación alguna.
Ello supone que no quedan acreditadas en este caso las bases legitimadoras expuestas
por la reclamada, para el tratamiento de datos de los empleados de los proveedores
durante el evento y previsiblemente con antelación para la preparación del montaje de las
instalaciones, por lo que procede dar por acreditada la infracción de este artículo 6.1 del
RGPD.
VII Obligación incumplida del art 14 del RGPD
En este caso, se tratan los datos de los empleados de los proveedores de la reclamada,
dedicados a labores de montaje de las instalaciones para el evento MWC 2022. Los
empleadores (proveedores de GSMA reclamada) proporcionan los datos a GSMA en una
aplicación que esta, como organizadora del MWC 22 dispone para tal fin de control de
acceso seguro, sin COVID, a sus instalaciones donde se celebra anualmente el
Congreso.
La reclamada es responsable del tratamiento de los datos que se realiza de los
empleados de los proveedores, cumpliéndose los requisitos de determinación de fines y
medios del tratamiento de datos de los empleados de los proveedores, fija el porqué del
tratamiento y el cómo se va a efectuar, cumpliendo los requisitos del RGPD para ser
calificado como tal responsable.
Tras recibir los datos de los empleados introducidos por parte de los proveedores, los
empleados reciben un primer correo electrónico de la reclamada que les solicita envíen
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
81/96
los datos COVID a la subencargada de tratamiento QP, con la que enlaza para el envío a
ella de los certificados de vacunación o pruebas.
La primera manifestación efectuada en la respuesta al traslado indicaba:
“En cuanto a la información facilitada sobre el tratamiento de estos datos, y en relación
con el tratamiento de datos objeto de la presente reclamación, la misma es facilitada por
el proveedor/empleador directamente al no tener GSMA contacto directo con los
trabajadores. El contrato entre GSMA y el proveedor requiere al proveedor el
cumplimiento de las leyes aplicables en materia de protección de datos, incluido el
cumplimiento con los requisitos de transparencia y legalidad de las mismas a los efectos
de ceder los datos de sus trabajadores a GSMA o sus encargados de tratamiento,
incluyendo la provisión de la política de privacidad de GSMA”.
Por tanto, es a la responsable del tratamiento, la reclamada, a la que el RGPD y la
LOPDGDD le impone una serie de obligaciones entre las que se halla tratar los datos
personales de forma, leal, lícita, y transparente (art 5.1.a del RGPD).
La transparencia está intrínsecamente ligada a la equidad y al principio de
responsabilidad según el RGPD.
Del artículo 5.2 del RGPD, se desprende también que el responsable del tratamiento
siempre debe ser capaz de demostrar que los datos personales se tratan de forma
transparente en relación con el interesado. De acuerdo con este punto, el principio de
rendición de cuentas requiere transparencia de las operaciones de tratamiento para que
los responsables del tratamiento puedan demostrar el cumplimiento de sus obligaciones
en virtud del RGPD.
La reclamada además, de la manifestación que hizo en su respuesta al traslado, ha
plasmado en su EIPD, que la información a los empleados se realizó por los proveedores
vía ”privacy notice” que figuraba de la web de la reclamada, proporcionada a ellos por su
empleador en representación de GSMA, bajo el literal en la EIPD ”En concordancia con
los términos y condiciones del registro de contratistas entre GSMA y los proveedores,
estos se comprometen contractualmente a cumplir con las obligaciones de transparencia
antes de compartir los datos de los empleados con GSMA incluyendo la provisión de la
”privacy notice de GSMA a toso sus empleados”
Así pues, según manifestaciones iniciales de la reclamada ante el traslado, en los
contratos suscritos con los proveedores, se establece el traslado de la obligación de
información del tratamiento de los datos a los proveedores, asociándolos a la “política de
privacidad de la web de la reclamada”.
El artículo 14 del RGPD indica:
“1. Cuando los datos personales no se hayan obtenido del interesado, el responsable del
tratamiento le facilitará la siguiente información:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
82/96
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales, así como la base
jurídica del tratamiento;
d) las categorías de datos personales de que se trate;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;
f) En su caso, la intención del responsable de transferir datos personales a un
destinatario en un tercer país u organización internacional y la existencia o ausencia de
una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas
en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las
garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al
lugar en que se hayan puesto a disposición-
2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado la siguiente información necesaria para garantizar un
tratamiento de datos leal y transparente respecto del interesado:
a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea
posible, los criterios utilizados para determinar este plazo;
b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable del tratamiento o de un tercero;
c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación de
su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los
datos;
d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo
9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier
momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento
antes de su retirada;
e) el derecho a presentar una reclamación ante una autoridad de control;
f) la fuente de la que proceden los datos personales y, en su caso, si proceden de
fuentes de acceso público;
g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que
se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.
3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y
2:
a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
83/96
tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se
traten dichos datos;
b) si los datos personales han de utilizarse para comunicación con el interesado, a más
tardar en el momento de la primera comunicación a dicho interesado, o
c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que
los datos personales sean comunicados por primera vez.
4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos
personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al
interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier
otra información pertinente indicada en el apartado 2.
5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida
en que:
a) el interesado ya disponga de la información;
b) la comunicación de dicha información resulte imposible o suponga un esfuerzo
desproporcionado, en particular para el tratamiento con fines de archivo en interés
público, fines de investigación científica o histórica o fines estadísticos, a reserva de las
condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la
obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u
obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el
responsable adoptará medidas adecuadas para proteger los derechos, libertades e
intereses legítimos del interesado, inclusive haciendo pública la información;
c) la obtención o la comunicación esté expresamente establecida por el Derecho de la
Unión o de los Estados miembros que se aplique al responsable del tratamiento y que
establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
d) cuando los datos personales deban seguir teniendo carácter confidencial sobre la
base de una obligación de secreto profesional regulada por el Derecho de la Unión o de
los Estados miembros, incluida una obligación de secreto de naturaleza legal.”
La obligación de informar es exigible al responsable del tratamiento, en este caso, en un
primer momento son los proveedores los que introducen los datos de sus empleados en
la aplicación de la reclamada, resulta pues que los datos recabados por la reclamada no
son proporcionados por los interesados, es decir por los propios empleados, sino por el
proveedor de GSMA, empleador de los afectados (datos de nombre apellidos, correo
electrónico etc.). Posteriormente, los datos de salud COVID exigidos para el pase son
introducidos en la aplicación por los propios empleados, a través del contacto en correo
electrónico y siguiendo las indicaciones de la reclamada.
La obligación legal que establece el RGPD y la LOPDGDD que ha de cumplir el
responsable del tratamiento, supone su exigibilidad a dicho responsable, en este caso la
reclamada, sin que por el mero acuerdo particular de voluntades, que por lo demás no
consta documentado sino simplemente manifestado, pueda tener el efecto que la
reclamada pretende, y que haría ineficaz el alto grado de protección y garantías que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
84/96
ofrece el RGPD.
La responsabilidad será siempre exigida al que la norma señala como obligado, y en el
supuesto de la obligación de informar recae en el responsable del tratamiento, por lo que
habrá que estar, al ser un concepto funcional, a quien decide sobre los fines y los medios
del tratamiento. En este caso, la reclamada decidió llevar a cabo el tratamiento y
determinó los medios del tratamiento, por tanto, es responsable del cumplimiento de la
obligación de informar . El objetivo último de la atribución de la obligación al responsable
del tratamiento es garantizar su cumplimiento y una protección eficaz e integral del
derecho a la protección de datos.
El considerando 39 del RGPD señala en este sentido:” Todo tratamiento de datos
personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro
que se están recogiendo, utilizando, consultando o tratando de otra manera datos
personales que les conciernen, así como la medida en que dichos datos son o serán
tratados.”
No resulta posible el traslado de esta responsabilidad legal que establece el RGPD,
independientemente de los acuerdos a los que puedan llegar las partes, que son ajenos a
este procedimiento.
Tampoco se suple esta obligación por la difusión de notas de prensa o conocimiento en
medios de difusión, dado que es un derecho individual y se ha de producir al recogerse
los datos del afectado, como garantía y salvaguarda de los derechos de los afectados.
Frente al contenido informativo de la política de privacidad que la reclamada considera
suficiente, ha de señalarse que para entender acreditado el cumplimiento de la obligación
de facilitar la información a los empleados titulares de los datos que se han recogido, no
solo de salud sino también básicos: nombre, apellidos, correo electrónico, se ha de
acreditar el contenido de la información y el momento en que se facilita la información.
Esta obligación no se puede sustituir con la mera constancia en la web de la política de
privacidad pues la información se ha de proporcionar directamente a la persona a la que
se solicitan sus datos, tanto si los datos se recogen del interesado directamente por el
responsable, como en el caso de que no se recojan por el responsable directamente. La
política de privacidad podría ser un medio para cumplir con la obligación de informar
siempre que el responsable comunique directamente al interesado la información básica
y el lugar en el que se encuentra la información completa.
Por otro lado, la afirmación de la reclamada de que tras el acuerdo de inicio la AEPD
asume que se ha proporcionado información carece de base pues se reproduce en el
acuerdo de inicio completo el artículo 14 del RGPD, y se significa que no se ha
proporcionado la información.
Tampoco puede tener éxito la afirmación de que en la aplicación se informaba de la
política de privacidad, pues de la impresión de la pantalla que acompaña: ”Contractor
acreditatión-system login”, se deduce que corresponde la carga de los datos personales
al proveedor, que es el único que interacciona con GSMA, con lo que en todo caso se le
informaría al mismo y no a los empleados titulares de los datos. El enlace que figura en
dicha pantalla en “legal”, no dirige directamente a la política de privacidad, sino a una
pantalla en la que hay diversas opciones, siendo esa solo una de ellas. Se ha de recordar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
85/96
que el primer y único contacto de la reclamada con el reclamante (con los empleados)
según ella misma explicó, se producía a raíz del envío de un correo electrónico de GSMA
al empleado en el que le indicaba un enlace para subir los datos de la vacunación.
Adicionalmente se observa que, al ser la política de privacidad comprensiva de diversos
sujetos participantes en el evento, tiene determinadas carencias, así en el apartado
“Retención de datos”, no se detalla la conservación de los datos recabados de los
empleados de los proveedores, instando a contactar para obtener más información.
Tampoco se prevé la base legitimadora que corresponde específicamente al tratamiento
de los datos de cada categoría asistente/empleado, señalándola de modo general y
abstracto sin identificar los colectivos a los que se refiere. No consta el derecho a
presentar una reclamación ante una autoridad de control, así como la fuente de la que
proceden los datos, ni los datos de contacto del Delegado de Protección de Datos.
Finalmente, en el apartado “información que proporciona voluntariamente”, figura
“pruebas de COVID 19: Como se indica en nuestro Plan Community Commited, se le
requerirá que se someta a test COVID 19 en intervalos regulares durante el evento. La
información sobre sus resultados de los test será tratada para el único fin de control de
acceso”.
En definitiva, la reclamada no facilitó a los interesados la información que requiere el art.
14 del RGPD y la información de su política de privacidad no está completa, lo que no
quiere decir que el presente procedimiento se dirija contra la reclamada porque su política
de privacidad esté incompleta sino porque no se facilitó ninguna información a los
interesados.
Por tanto, esta alegación no puede estimarse, por entender incumplido el deber de
informar de la reclamada.
La información que debe proporcionar el responsable debe facilitarse con independencia
de que el responsable tenga o no acceso a los datos sobre los que ha decidido en
definitiva para qué los trata y como se va a efectuar el tratamiento, instaurando fines y
medios para ello. Aunque también se aprecia que la reclamada tiene conocimiento del
resultado porque se lo comunica QP al ser informada de la decisión de apto o no, que se
incorpora en el título de la vacuna que aporta cada empleado, y se almacena y conserva
para poder acceder a la instalación cada día, en este caso al lugar de la prestación del
trabajo.
Lo cierto es que, una vez enviados los datos por los proveedores, la reclamada los tiene
a su disposición, y podría haber informado de la recogida y del tratamiento en el primer
contacto que mantiene con ellos, sin embargo, no consta que lo hiciera.
Tal y como aclaran las Directrices sobre la transparencia en virtud del Reglamento (UE)
2016/679 Adoptadas el 29/11/2017 Revisadas por última vez y adoptadas el 11/04/2018:
“27. Por lo que respecta al momento de facilitar esta información, hacerlo de manera
oportuna es un aspecto fundamental de la obligación de transparencia y la obligación de
tratamiento leal de los datos. Cuando el artículo 13 sea de aplicación, el apartado 1 de
dicho artículo prevé que la información debe facilitarse «en el momento en que [los datos
personales] se obtengan». En el caso de los datos personales obtenidos indirectamente
en virtud del artículo 14, los plazos en que se debe facilitar al interesado la información
necesaria se establecen en el artículo 14, apartado 3, letras a) a c), a saber:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
86/96
• el requisito general es que la información debe facilitarse dentro de un «plazo
razonable», una vez obtenidos los datos personales, y a más tardar dentro de un mes,
«habida cuenta de las circunstancias específicas en las que se traten dichos datos»
[artículo 14, apartado 3, letra a)];
• el plazo máximo general de un mes contemplado en el artículo 14, apartado 3, letra a),
puede verse reducido con arreglo al artículo 14, apartado 3, letra b)31, que contempla las
situaciones en que los datos se utilizan para comunicarse con el interesado. En tal caso,
la información debe facilitarse a más tardar en el momento de la primera comunicación
con el interesado. Si la primera comunicación se produce antes del plazo máximo de un
mes después de la obtención de los datos personales, la información debe facilitarse «a
más tardar» en el momento de la primera comunicación con el interesado, siempre y
cuando no haya transcurrido un mes desde el momento en que se obtuvieron los datos.
Si la primera comunicación con un interesado se produce después de que haya
transcurrido un mes desde la obtención de los datos personales, el artículo 14, apartado
3, letra a), sigue siendo de aplicación, por lo que debe facilitarse al interesado la
información a que se refiere el artículo 14 a más tardar dentro del plazo de un mes desde
su obtención;
• el plazo máximo general de un mes contemplado en el artículo 14, apartado 3, letra a),
puede verse reducido también con arreglo al artículo 14, apartado 3, letra c), que
contempla las situaciones en que los datos se comunican a otro destinatario (ya sea un
tercero o no). En tal caso, la información debe facilitarse a más tardar en el momento de
la primera comunicación. En esta situación, si la comunicación se produce antes del
plazo máximo de un mes, la información debe facilitarse «a más tardar» en el momento
de dicha comunicación, siempre y cuando no haya transcurrido un mes desde el
momento en que se obtuvieron los datos. De manera análoga a la postura con respecto
al artículo 14, apartado 3, letra b), si cualquier comunicación de los datos personales se
produce después de que haya transcurrido un mes desde la obtención de los datos
personales, el artículo 14, apartado 3, letra a), vuelve a seguir siendo de aplicación, por lo
que debe facilitarse al interesado la información a que se refiere el artículo 14 a más
tardar dentro del plazo de un mes desde su obtención.”
Sin embargo, en este caso, no consta que la reclamada informara, por ello, se mantiene
la imputación de haber incurrido en una infracción del citado artículo.
La reclamada alega que inicialmente estos hechos no habían sido objeto de reclamación
y no se puede iniciar procedimiento por ello.
Sin embargo, en la fase de traslado de la reclamación, la reclamada incide en su
respuesta que es advertida como una ausencia de cumplimiento de su obligación de
informar de los datos que recaba a través de los empleadores (proveedores de la
reclamada). Esta obligación afecta a un derecho de los interesados y del reclamante
relacionado directamente con la recogida de unos datos tan sensibles como pueden ser
los de salud. La AEPD ante tan evidente incumplimiento, relacionado, además, con el
diseño del tratamiento, no puede omitir la exigencia de responsabilidad por esta
antijuridicidad tan evidente, simplemente por no haber sido específicamente expresado
en la reclamación.
La reclamada no había acreditado haber cumplido con la obligación de informar a los
afectados, motivo por lo que también se inició el procedimiento sancionador por este
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
87/96
hecho.
VIII Tipificación y calificación de las infracciones
Se considera que los hechos expuestos podrían vulnerar lo dispuesto en los artículos: 14,
9.2 y 6.1 del RGPD, con el alcance expresado en los Fundamentos de Derecho
anteriores, lo que supone la comisión de las infracciones tipificadas en el artículo 83
apartado 5.a) y 5.b) del RGPD que bajo la rúbrica “Condiciones generales para la
imposición de multas administrativas” dispone que:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose
de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22;
A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones
los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley
orgánica”.
A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica:
“Infracciones consideradas muy graves.
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
[…]
“b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.”
[…]
“e) El tratamiento de datos personales de las categorías a las que se refiere el artículo 9
del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas
en dicho precepto y en el artículo 9 de esta ley orgánica.”
[…]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
88/96
“h) La omisión del deber de informar al afectado acerca del tratamiento de sus datos
personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE)
2016/679 y 12 de esta ley orgánica.”
IX Determinación de la sanción
Las multas que se impongan deberán ser, en cada caso individuales, efectivas,
proporcionadas y disuasorias, de acuerdo con el artículo 83.1 del RGPD.
A fin de determinar la multa administrativa a imponer se han de observar las previsiones
del artículo 83.2 del RGPD, que indica:
“Las multas administrativas se impondrán, en función de las circunstancias de cada caso
individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58,
apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su
cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el número
de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar
los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida
cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los
artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular
si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
89/96
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, en relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su
artículo 76,”Sanciones y medidas correctivas”, dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)
2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el
apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también
podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido incluir a la comisión de
la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente
f) La afectación a los derechos de los menores
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
La letra e) del artículo 83.2 referida como “toda infracción anterior cometida por el
responsable o el encargado del tratamiento;” resulta de aplicación a la reclamada, ya que
se le impuso una sanción tipificada como grave recientemente, el 24/02/2023, en el
procedimiento EXP202100603, PS/00553/2021, por una infracción del artículo 35 del
RGPD, al no disponer de una Evaluación de Impacto de Protección de datos válida para
el tratamiento de datos biométricos como parte de los medios de accesos previstos a la
sede del MWC del año anterior 2021, luego es altamente relevante en todas las
infracciones que ahora se valoran, por corresponder las presentes infracciones al evento
del año siguiente y también estar relacionada de una forma u otra con los instrumentos
implementados para permitir el acceso al evento, contando con las medidas de frenar la
extensión de la enfermedad COVID-19. Además, en ambos casos referidos a datos de
categoría especial, en 2021: datos biométricos, ahora, datos de salud. El precepto,
directamente aplicable, no distingue en que la infracción tenga que ser del mismo tipo o
naturaleza, y en este caso, se relaciona claramente con categorías especiales de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
90/96
La sentencia del TJUE de 5/12/2023, asunto C-807/21, indica en su apartado 45:”Los
requisitos materiales que una autoridad de control debe respetar al imponer tal multa
se establecen, en los apartados 1 a 6 del artículo 83 del RGPD, de manera precisa y
sin dejar a los Estados miembros ningún margen de apreciación.”
El artículo 83.2.e) del RGPD, considera que al decidir la cuantía de la multa
administrativa se ha de considerar “Toda infracción anterior cometida por el responsable”,
por lo que sería de aplicación como agravante a todas las infracciones que se imputan,
dada la vinculación de las conductas que se imputan como unidad de actuación en la
realización del tratamiento de datos del colectivo de empleados de proveedores.
La reclamada alegó que para todas las infracciones se debería considerar como
atenuante el propósito que le guiaba en velar por la salud de los trabajadores. Sin
embargo, junto a esta preocupación, se debe considerar también la variable de la
protección de datos de los afectados como derecho propio y su autodeterminación para
ser gestionados con arreglo a la normativa y con las garantías y salvaguardas que el
RGPD y la LOPDGDD establecen, no siendo en modo alguno incompatibles.
Así pues, hecha la anterior valoración, se analizan las circunstancias que se han de tener
en cuenta para la imposición de una multa por la infracción del artículo 14 del RGPD. A
efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que
procede graduar la sanción de acuerdo con las siguientes circunstancias incluidas en el
artículo 83.2 del RGPD:
- Del artículo 83.2.a)”la naturaleza, gravedad y duración de la infracción, teniendo en
cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate,
así como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido”.
El tratamiento llevado a cabo es de todos los empleados de los proveedores,
desconociendo todos los elementos del tratamiento de sus datos, lo que supone un
agravamiento de la conducta que les impide el control sobre sus datos personales.
-Del artículo 83.2.b) ”la intencionalidad o negligencia en la infracción”. En el cumplimiento
de sus obligaciones legales, la reclamada pretende trasladar la reclamación al proveedor,
empleador de los trabajadores, cuando es ella quien debe responder legalmente sin que
pueda ser delegada. Además, dispone de los medios para poder informar, por ello no
consta una diligencia razonable para cumplir la obligación legal, lo que revela una falta de
diligencia en el cumplimiento de esta obligación.
La sentencia de la Audiencia Nacional, de 17/10/2007, recurso 63/2006, indica que el
Tribunal Supremo “viene entendiendo que existe imprudencia siempre que se desatiende
un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia
exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la
profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado,
cuando la actividad de la reclamada es de constante y abundante manejo de datos de
carácter personal en la organización de eventos con asistencia masiva, ha de insistirse
en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
91/96
La reclamada, sobre este agravante, alegó que debe considerarse atenuante debido al
objetivo perseguido y la colaboración con las autoridades sanitarias para cumplir la
normativa en materia de salud pública y en las restricciones aplicables, y la diligencia por
no haber tenido acceso a los datos.
Se ha de rechazar esta alegación, en parte ya contestada en su alegación general, y
también porque no tiene que ver con la agravante que se analiza en relación con las
circunstancias que concurren en la conducta reseñada el acceso a los datos por parte de
la reclamada, pues informar no depende del acceso a los datos.
Estas circunstancias se consideran que agravan la infracción, y que procede la
imposición de una sanción de 100.000 euros.
En cuanto a la infracción del artículo 9.2, se considera que además de la ya señalada de
aplicación de la causa contenida en el artículo 83.2.e) del RGPD, concurre la siguiente
circunstancia:
-- artículo 83.2.a)”la naturaleza, gravedad y duración de la infracción, teniendo en cuenta
la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que hayan
sufrido”.
La recogida y tratamiento de datos se produjo en un evento privado, tratamiento que no
es meramente incidental o accesorio, que conlleva el registro de datos de salud en una
aplicación y su almacenamiento durante el periodo de duración del evento, inicio
previsible 21/01/2022, hasta el 8/03/2022, sin que los empleados tuvieran opción a no
aportar los datos de salud, en una situación de desequilibrio entre las partes, afectando a
la libertad de los interesados que no pueden dejar de aportar tales datos, si quieren
acudir al trabajo, todos ellos elementos agravantes de la infracción, que afectan a varios
miles de empleados. Circunstancias que constituyen esta agravante de la infracción.
- artículo 83.2.k) RGPD en relación con el artículo 76.2.b) LOPDGDD: La vinculación
entre la actividad empresarial de la reclamada y el tratamiento de datos personales.
La reclamada, en el desarrollo de la actividad organizadora del evento que le es propia,
relacionada con el desarrollo de tecnologías algunas de ellas emergentes, necesita tratar
de forma habitual datos de carácter personal y lo lleva haciendo en sucesivas ediciones
en un campo innovador en cuanto a tecnologías como se ha dicho. Como contraparte,
este hecho incide en la diligencia que le resulta exigible en el cumplimiento de los
principios que presiden el tratamiento de datos de carácter personal y en la calidad y
efectividad de las medidas técnicas y organizativas que debe tener implementadas para
garantizar el respeto de este derecho fundamental, en este caso de los empleados.
Elementos de carácter agravante de la infracción.
La reclamada alegó para esta agravante, que en realidad su negocio es la promoción de
la telefonía móvil que efectúa en colaboración con FIRA y que su actividad comercial no
guarda relación especial con el tratamiento de datos de salud.
En este sentido, su alegación no puede ser estimada, dado que la reclamada trata los
datos de los empleados encada convocatoria del evento por si o a través de encargados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
92/96
y decide, en este caso, implementar, en parte por la pandemia, medios tecnológicos sin
contacto, que implican para acceder al trabajo, proporcionar unos datos personales. El
elevado número de asistentes y de empleados que se necesitan para el montaje de las
instalaciones y su duración, suponen un tratamiento de datos importante a tener en
cuenta en cada congreso anual que celebra.
El balance de las circunstancias contempladas, con respecto a la infracción cometida, al
vulnerar lo establecido en el artículo 9.2 del RGPD, conduce a fijar una sanción de
300.000 euros.
En cuanto a la infracción del artículo 6.1 del RGPD, considerando asimismo la
concurrencia ya señalada de la causa contenida en el artículo 83.2.e) del RGPD, se han
de atender, además, las siguientes circunstancias para la graduación de la sanción:
- artículo 83.2.a)”la naturaleza, gravedad y duración de la infracción, teniendo en cuenta
la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que hayan
sufrido”.
El tratamiento recae sobre todo en un colectivo de empleados de proveedores que no
tienen expectativas de que sus datos sean tratados por un tercero, al no tener una
relación directa con dicha entidad. La duración de este tratamiento es más amplia que la
de los asistentes, al tener que acudir a su trabajo antes, durante y una vez acabado el
evento. Alcanza a la totalidad de los empleados de los proveedores que o bien se
someten a la vacunación, o bien aportan una prueba PCR, que no consta sea sufragada
más que por el propio empleado, y que, por su validez, deben reiterar durante el periodo
en el que deben acceder al recinto para realizar su trabajo, o bien aportar un certificado
de recuperación de la enfermedad, elementos que influyen en la agravación de la
sanción.
La sanción, se estipula en este caso en 200.000 euros.
Finalmente, la reclamada alegó que, para todas las infracciones, que no concurre el
elemento de la culpabilidad en su conducta, por su voluntad de garantizar la salud de los
trabajadores, considerando el contexto y las medidas cambiantes, y que no hubo impacto
negativo en la situación pandémica, actuando diligentemente por contar con un
encargado, actuando desde el principio de precaución del artículo 3 de la Ley 33/2011 de
4/10 de salud pública.
El Tribunal Supremo, en línea con la del Tribunal Constitucional, ha establecido que la
potestad sancionadora de la Administración, en tanto que manifestación del ius
puniendi del Estado, se rige por los principios del Derecho penal, siendo principio
estructural básico el de culpabilidad, incompatible con un régimen de responsabilidad
objetiva, sin culpa.
El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento de la
culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable
administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o
imprudencia, negligencia o ignorancia inexcusable.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
93/96
Esta exigencia de culpabilidad en el ámbito de los ilícitos administrativos ha sido reiterada
hasta la saciedad por la jurisprudencia del Tribunal Supremo. Así, las SSTS de 12 (féc.
388/1994) y 19/05/1998, Sección Sexta, afirman que en el ámbito sancionador “está
vedado cualquier intento de construir una responsabilidad objetiva" y que “en el ámbito
de la responsabilidad administrativa no basta con que la conducta sea antijurídica y
típica, sino que también es necesario que sea culpable, esto es, consecuencia de una
acción u omisión imputable a su autor por malicia o imprudencia, negligencia o ignorancia
inexcusable (...) es decir, como exigencia derivada del artículo 25.1 de la Constitución ,
nadie puede ser condenado o sancionado sino por hechos que le puedan ser imputados
a título de dolo o culpa (principio de culpabilidad)".
A la vista de la Jurisprudencia expuesta, procede concluir que cuando se produce una
actuación que pudiera incurrir en una infracción administrativa, debe examinarse la
culpabilidad a efectos de no proceder a iniciar un procedimiento sancionador de manera
automática. No es necesario el dolo en la comisión de una infracción, basta con la mera
negligencia para poder exigir responsabilidad al infractor, tal y como afirma el Tribunal
Constitucional “más allá de la simple negligencia, los hechos no pueden ser
sancionados”.
También la Sentencia de la Audiencia Nacional de 25/03/2003, indica que «Por lo que
afecta a la culpabilidad, ha de decirse que generalmente este tipo de conductas no tienen
un componente doloso, y la mayoría de ellas se producen sin malicia o intencionalidad.
Basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las
personas responsables de ficheros o del tratamiento de datos de extremar la diligencia
para evitar, como en el caso que nos ocupa, un tratamiento de datos personales sin
consentimiento de la persona afectada, lo que denota una falta evidente en la
observancia de esos deberes que conculcan claramente os principios y garantías
establecidas en la Ley Orgánica 15/1999, de 13 de diciembre (LA LEY 4633/1999), de
Protección de Datos de carácter Personal, concretamente el del consentimiento del
afectado.» El Tribunal Supremo (STS 16/04/91 y STS 22/04/91) considera que del
elemento culpabiliza se desprende «que la acción u omisión, calificada de infracción
sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo
o imprudencia, negligencia o ignorancia inexcusable».
A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de
carácter personal, ha declarado que «basta la simple negligencia o incumplimiento de los
de deberes que la Ley impone a las personas responsables de ficheros o del tratamiento
de datos de extremar la diligencia...» (SAN 26/06/01).
La sentencia del TJUE 5/12/2023, asunto C-807/21 señala en su punto 75 “En
consecuencia, procede declarar que el artículo 83 del RGPD no permite imponer una
multa administrativa por una infracción contemplada en sus apartados 4 a 6 sin que se
demuestre que dicha infracción fue cometida de forma intencionada o negligente por el
responsable del tratamiento y que, por lo tanto, la culpabilidad en la comisión de la
infracción constituye un requisito para la imposición de la multa.”
En el presente caso, la reclamada conocía que sólo a ciertos sectores se les aplicaba la
exigencia de la documentación de certificación COVID, y sólo por un cierto tiempo. La
política de acceso a las instalaciones del MWC 22 se comenzó a planear con bastante
antelación, en el otoño del 2021, contando con el punto de vista de autoridades
sanitarias, tiempo suficiente para evaluar todas las variables que incidían en los riesgos
del tratamiento de datos personales para los derechos y libertades de los interesados que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
94/96
se ha de aplicar a cualquier tratamiento, independientemente del tipo, y en este caso con
mayor rigor tratándose de datos especiales. La reclamada debía conocer que la
vacunación no era obligatoria. La reclamada ha reconocido que en este caso no existe
Ley que establezca esta medida de aplicación a su sector, ni disposiciones
administrativas al reconocer que las dictadas en el ámbito de Cataluña no contemplaban
este supuesto. Pese a ello, trató los datos de salud los empleados, por lo que se aprecia
una falta de diligencia al contemplar la base legitimadora de los tratamientos llevados a
cabo, y la información de dicha recogida, lo que constituye y prueba la culpabilidad de la
reclamada como forma de acometer deficiente en su gobernanza de protección de datos.
Además, el modo en que acometió el tratamiento o su finalidad no es óbice para
contemplar dicha falta de diligencia y antijuridicidad.
En cuanto a la aplicación de atenuantes, considera se tenga en cuenta como relacionado
con el propósito de la operación de tratamiento, que la finalidad era velar por la salud, en
línea con las medidas acordadas por la autoridad sanitaria. No obstante, si bien la
finalidad puede ser legitima, no era necesaria y proporcional, pues, en este caso, no se
valoraron los riesgos de incumplimiento normativo ni el impacto que podía ocasionar la
medida en los interesados.
Asimismo, considera que no es un profesional en el tratamiento de datos. Sin embargo, la
aplicación de la agravante del 83.2.k) del RGPD no requiere esta profesionalidad. La
entidad viene celebrando el evento desde 2006 al que han asistido y siguen asistiendo
unas cantidades importantes de miles de personas, lo que implica un tratamiento
profesionalizado de datos personales,, por lo que le resulta exigible una diligencia
especial en el cumplimiento de la legislación sobre protección de datos y del principio de
accountability que exige la valoración de los riesgos que conllevan los tratamientos de
datos de las personas, y el establecimiento de garantías para asegurar un nivel alto de
protección de sus derechos.
Por tanto, en las razones esgrimidas no se aprecia justificación para la reducción de las
sanciones.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos
RESUELVE:
PRIMERO: IMPONER a GSMA LIMITED con NIF N4004237F por la presunta infracción
de los siguientes artículos del RGPD
-9.2 del RGPD de conformidad con el artículo 83.5.a) del RGPD, y a efectos de
prescripción calificada como muy grave en el artículo 72.1.e) de la LOPDGDD, con una
multa de 300.000 euros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
95/96
--6.1 del RGPD, de conformidad con el artículo 83.5.a) del RGPD, y a efectos de
prescripción calificada como muy grave en el artículo 72.1.b) de la LOPDGDD, con una
multa de 200.000 euros.
-14 del RGPD, de conformidad con el artículo 83.5.b) del RGPD, y a efectos de
prescripción calificada como muy grave en el artículo 72.1.h) de la LOPDGDD, con una
multa de 100.000 euros.
SEGUNDO: NOTIFICAR la presente resolución a GSMA LIMITED y a GSMC EVENT
PROJECT MANAGEMENT, S.L.
TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación
de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al
sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente
resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b) de la LPACAP,
en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de
Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62
de la Ley 58/2003, de 17/12, mediante su ingreso, indicando el NIF del sancionado y el
número de procedimiento que figura en el encabezamiento de este documento, en la
cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT:
XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en la
entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en
período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre
los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario
será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre
los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del
segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la Directora
de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el
día siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con
arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional
cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-
administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación
de este acto, según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
96/96
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el
caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a
la Agencia Española de Protección de Datos, presentándolo a través del Registro
Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de
alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del
recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión
cautelar.
938-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es