Sıcaklık Ölçümünde Gizlilik ve Veri Güvenliği

1/36

 Expediente N.º: EXP202202309

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 9 de febrero de 2022
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra CENTRO MÉDICO SALUS BALEARES, S.L. con NIF
B07060478 (en adelante SALUS BALEARES). Los motivos en que basa la
reclamación son los siguientes:

Que estando en un centro médico de SALUS BALEARES (clínica Asistel Moraira) se le
pide que se tome la temperatura con un aparato situado en la pared delante de la sala
de espera y al lado de la recepción, a la vista por tanto de terceras personas el
visionado de la temperatura corporal que arroja. Se niega a tomársela y con ello se le
niega la asistencia médica (realización de una analítica). Considera que se le ha
discriminado y vulnerado sus derechos.

Junto a la notificación se aportan fotografías en las que se visualiza la localización del
termómetro del citado centro médico, así como copia de la hoja de reclamación
presentada por la parte reclamante.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a SALUS BALEARES,
para que procediese a su análisis e informase a esta Agencia en el plazo de un mes,
de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la
normativa de protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 1 de marzo de 2022, como
consta en el acuse de recibo que obra en el expediente.

Con fecha 28 de marzo de 2022 se recibe en esta Agencia escrito de respuesta
indicando lo siguiente:

-El sistema de medición utilizado se trata de un termómetro laser ubicado a la entrada
de la clínica, en la que el usuario individualmente se toma la temperatura y el personal
de admisión de la clínica médica observa dicha medición, sin llevar a cabo ningún tipo
de registro de temperatura o datos identificativos de dicho usuario. Por tanto, en
ningún caso la toma de temperatura realizada (medición laser frente o mano), es un
tratamiento de datos de carácter personal, y por tanto la intervención de la Agencia

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/36

Española de Protección de Datos, y la aplicación de la normativa vigente en materia
de protección de datos no procede al no existir un tratamiento de datos.

-La medición automática de temperatura de un usuario, sin llevar a cabo un registro
aparejado no supone un tratamiento de datos, y por tanto no existe una finalidad
establecida para dicho tratamiento.

-Asimismo, en caso de que se considerara efectivamente un tratamiento de datos, la
finalidad de este es la seguridad de trabajadores y usuarios de la clínica, visto desde el
vértice de pandemia sanitaria por coronavirus, en el cual se establecieron distintos
protocolos para normalizar la vuelta a la normalidad con dicha medida. (medición de
temperatura a usuarios). Existe una obligación legal por parte de la Ley de Prevención
de Riesgos laborales, que obliga al empleador a implementar medidas para garantizar
la seguridad en el entorno laboral.

-Se ha dado instrucción concreta para que los operarios que tengan la función
atribuida de controlar la temperatura informen verbalmente a las personas sobre la
situación y la razón de dicho control, haciendo indicación de que, en ningún momento
se registrarán, almacenarán o utilizarán los resultados de las mediciones para
cualquier otro fin que no sea aconsejar sobre las medidas de seguridad a adoptar.

-Concluye que mientras no exista una normativa oficial que imponga una medida
diferente, se va a seguir implementado el protocolo de toma de temperatura a
trabajadores y usuarios, legitimado por el cumplimiento de una obligación legal.

TERCERO: Con fecha 9 de mayo de 2022, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: La entidad CENTRO MÉDICO SALUS BALEARES, S.L. es una empresa
constituida en el año 2000 y con un volumen de negocios de 34.816.282 euros en el
ejercicio 2021 y de 39.597.787 en el ejercicio 2022, según informe emitido por la
entidad Axesor.

QUINTO: Con fecha 8 de mayo de 2023, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 5.1.f) del RGPD y Artículo
32 del RGPD, tipificada en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD
respectivamente.

SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones en el que, en síntesis, manifiestaba lo siguiente:

I. En referencia a si la toma de temperatura supone un tratamiento de datos de
carácter personal:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/36

Indica SALUS BALEARES que de lo que esta Agencia indicó en el propio Acuerdo de
Inicio queda claro el criterio de ésta respecto a que la medición de la temperatura, sin
llevar a cabo ningún tipo de registro NO es un tratamiento de datos y por tanto
quedaría excluido del ámbito de aplicación de la normativa vigente en materia de
protección de datos.

Asimismo, señala SALUS BALEARES que la Agencia sigue el mismo criterio en otros
procedimientos en los cuales se ha determinado que la medición de la temperatura a
través de termómetros sin registro de los interesados no es un tratamiento de datos de
carácter personal (Procedimiento Nº: E/03884/2020)

Sin embargo, advierte SALUS BALEARES, esta Agencia quiere acreditar que, en el
presente caso, sí que es un tratamiento de datos, porque según las fotografías
aportadas por el reclamante el resultado de la medición es visible o público.

Reseña SALUS BALEARES que, si se analiza las fotografías aportadas en la
reclamación se ve como el dispositivo se encuentra en una pared al lado de recepción,
donde el lateral derecho se incluyen elementos ornamentales para evitar que desde el
lateral derecho se pueda visualizar el resultado de la medición, y se incluyen
indicaciones de realizar la medición acercando la mano al dispositivo.

Apunta SALUS BALEARES que al acercar mano a escasos centímetros del
dispositivo, junto con nuestro cuerpo que obstruye visualmente desde un flanco trasero
y los elementos ornamentales ubicados en la recepción para evitar una posible
visualización lateral derecha, resultaría prácticamente imposible que la medición de la
temperatura fuera visible por nadie más que la persona que está llevando a cabo la
medición.

Asimismo, señala SALUS BALEARES que, por las fotografías aportadas en el
procedimiento, no queda probado de ningún modo que en el momento el reclamante
llevo a cabo su medición, hubiera alguien en la sala de espera situada a la izquierda
de la recepción, dado que todas las imágenes que se han aportado en el
procedimiento no hacen referencia al momento en que el interesado (reclamante) llevo
a cabo la medición de su temperatura para poder entrar a la clínica médica Asistel
Moraira.

En este sentido, cree SALUS BALEARES que este supuesto no se ha examinado de
forma fehaciente por parte de esta Agencia, ya que a SALUS BALEARES no le consta
ninguna visita inspectora por parte de la AEPD a la clínica Asistel Moraira, en relación
a la reclamación recibida, en la que se examinara o se revisara si las fotografías
tomadas eran un reflejo fiel de la realidad o si el sistema de medición de temperatura
estaba instalado de forma correcta para evitar ningún tipo de publicidad o revelación
de los resultados de medición. Hay que decir, que desde el día en que la
recomendación sanitaria de medir la temperatura de los asistentes a centros médicos
dejó de ser obligatoria, ésta clínica desinstaló el termómetro y por tanto no se han
llevado a cabo más mediciones.

A mayor abundamiento, señala SALUS BALEARES que el reclamante manifiesta en
su reclamación (anexo 1 reclamación), que NO se ha llevado a cabo la medición,
motivo por el cual no se le permitió acceder al tratamiento clínico. Hecho que no hace
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/36

más que reforzar nuestro argumento de que en el caso concreto en el que nos
encontramos, no ha habido un tratamiento de datos de carácter personal, según las
definiciones de “dato de carácter personal” y “tratamiento” del artículo 4 del RGPD,
porque el reclamante nunca llegó a hacer su medición.

II.-En referencia a la cuantificación de las sanciones

Señala SALUS BALEARES que en el procedimiento sancionador se establecen una
serie de agravantes en relación con la presunta infracción de SALUS BALEARES del
artículo 5.1.f) del RGPD, que deriva en la imposición de una propuesta de sanción de
20.000,00 € (VEINTE MIL EUROS). Así:

Respecto de las circunstancias agravantes del artículo 83.2.a) RGPD

En este sentido, considera SALUS BALEARES que no se ha tenido en cuenta el caso
concreto denunciado por el reclamante ni las circunstancias concretas de la clínica
Asistel Moraira, sino que la Agencia ha tenido en cuenta los datos globales de la
sociedad CMSB.

Asimismo, reseña SALUS BALEARES que, respecto a la confidencialidad, tal y como
se ha argumentado en el punto I del presente recurso, no ha habido un tratamiento de
datos, el reclamante nunca llegó a medir su temperatura, por lo que no puede existir
confidencialidad sobre un hecho no ocurrido.

Respecto al número de interesados, SALUS BALEARES recuerda a esta Agencia que
en el periodo de pandemia derivada del virus COVID-19, en nuestro país, el sector
sanitario al completo, incluida la asistencia sanitaria privada como es el caso de
CMSB, se ha puesto a disposición del conjunto de todos los ciudadanos, como solicitó
el ministro de Sanidad Español, Salvador Illa, el pasado 15 de marzo de 2020.
Uniendo fuerzas, recursos y energías para poder atender los máximos casos posibles
y ayudar a superar la crisis del COVID-19.

SALUS BALEARES trae a colación que la autoridad sanitaria, el Ministerio de Sanidad
u organismos en los que éste delegue, publicó, diferentes protocolos en donde se
incluye, como medida de seguridad necesaria para la vuelta a la normalidad de esas
actividades, los citados controles de temperatura. Por ejemplo, el Protocolo de
actuación para la reactivación de la actividad judicial y salud profesional, del Consejo
General del Poder Judicial, el Protocolo básico de actuación para la vuelta a los
entrenamientos y el reinicio de las competiciones federadas y profesionales; o en las
Recomendaciones para el restablecimiento de la actividad en las piscinas de uso
público tras la crisis del Covid-19. Y recuerda también que el propio Gobierno de
España, en la gestión de esta situación de emergencia y, concretamente, en relación
con las medidas que imponían a los extranjeros que visitan España durante el periodo
que duró esta situación, se llevaron controles de temperatura a cada persona que
acceda al país, con el objetivo de garantizar la máxima seguridad sanitaria. Porque
esto es lo que en todo momento se buscaba de SALUS BALEARES, evitar la
propagación de la crisis del Covid-19, motivo por el cual se instaló el lector de
temperatura corporal.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/36

Indica SALUS BALEARES que, con un carácter más concreto, la actuación
denunciada, se llevaba a cabo en cumplimiento de la Ley 31/1995, de 8 de noviembre,
de Prevención de Riesgos Laborales (LPRL), que recoge que es obligación del
empresario garantizar la seguridad en el trabajo. Esta última obligación del empresario
debe ser entendida en sentido amplio, por lo que la simple circunstancia de que los
empleados de la clínica médica Asistel Moraira de SALUS BALEARES trabajen en
contacto con los clientes y usuarios del mismo, implicaría la necesidad de que la
protección que se le brinda a los empleados sea extensible a los clientes o usuarios,
como consecuencia de que el acceso a las instalaciones de SALUS BALEARES por
parte de clientes o usuarios contagiados podría poner en riesgo la seguridad de los
empleados, y la de los propios usuarios entre sí. Incluso, la falta de actuación en el
cumplimiento de las obligaciones de protección de los trabajadores derivadas de la
LPRL podría ser constitutiva de delito, tal y como se encuentra regulado en los
artículos 316-318 del Código Penal.

SALUS BALEARES recuerda que esta opinión está ratificada por parte del Ministerio
de Sanidad en el documento que ha elaborado relativo a “Procedimiento de actuación
para los servicios de prevención de riesgos laborales frente a la exposición al
SARSCOV-2” que realiza la siguiente recomendación a los servicios de prevención de
riesgos laborales en su página 3:

“Dado que el contacto con el virus puede afectar a entornos sanitarios y no
sanitarios, corresponde a las empresas evaluar el riesgo de exposición en que
se pueden encontrar las personas trabajadoras en cada una de las tareas
diferenciadas que realizan y seguir las recomendaciones que sobre el
particular emita el servicio de prevención, siguiendo las pautas y
recomendaciones formuladas por las autoridades sanitarias”.

A mayor abundamiento, SALUS BALEARES dice que no se ha reflejado en la
propuesta de sanción cual ha sido el criterio establecido por esta Agencia para
determinar que el número de afectados es alto, si no conocen el número de clientes
que se recibe en la clínica Asistel Moraira, no se han presentado más reclamaciones al
respecto y más teniendo en cuenta que el total de ciudadanos empadronados en
Teulada, población donde está localizada la clínica en cuestión, es de 11.944
habitantes (según datos del INE 2022).

Es por ello por lo que consideramos que este criterio de agravante no ha sido
calculado de forma objetiva, conforme a los hechos denunciados.

“Artículo 83.2.b) RGPD. Intencionalidad o negligencia en la infracción: Si bien
se considera que no hubo intencionalidad por parte de SALUS BALEARES, sí
puede observarse la existencia de negligencia en el cumplimiento y
observancia de las medidas técnicas y organizativas para garantizar la
seguridad necesaria para la protección de los datos personales, concretamente
para garantizar la confidencialidad de los mismos, puesto que se produjo una
toma de temperatura de los usuarios que acudían a la clínica de tal forma que
era posible visualizar la misma por el resto de personas que se encontraran en
la sala de espera o en la zona de la recepción, lo que refleja una negligencia,
máxime si se tiene en cuenta que se trata de datos de salud. A este respecto,
debe recordarse que SALUS BALEARES es una clínica y por tanto,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/36

habituada al tratamiento de datos personales, concretamente a datos de salud.

Procede recordar, en este sentido, la de la Audiencia Nacional de 17/10/2007
(rec.63/2006), que respecto de entidades cuya actividad lleva aparejado el
continuo tratamiento de datos de clientes, indica “…el Tribunal Supremo viene
entendiendo que existe imprudencia siempre que se desatiende un deber legal
de cuidado, es decir, cuando el infractor no se comporta con la diligencia
exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el
caso ahora examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las previsiones legales al respecto”.

Indica SALUS BALEARES que, en la agravante citada, hace referencia a la
intencionalidad o negligencia, y esta Agencia manifiesta en su escrito que “se
considera que no hubo intencionalidad por parte de SALUS BALEARES”. Respecto a
la negligencia, se apoya de nuevo en la falta de confidencialidad, como ya ha se ha
hecho en la aplicación de la agravante del Artículo 83.2.a) del RGPD. Reiteramos los
hechos probados de que, no ha habido un tratamiento de datos, el reclamante nunca
llegó a medir su temperatura, por lo que no es un tratamiento de datos de carácter
personal, el RGPD y demás normativa no es aplicable sobre el mismo, y en el caso en
cuestión, es fácticamente imposible que concurra confidencialidad sobre un hecho no
ocurrido, como es la toma de temperatura de la mano del reclamante.

Por todo ello, consideramos que la agravante de negligencia aplicada en la graduación
de la sanción no procede.

“Artículo 83.2.g) RGPD. Categorías de datos personales afectados por la
infracción: Han sido afectados datos personales relativos a la salud.

Es necesario recordar en este punto que, el sistema de medición utilizado se
trata de un termómetro laser ubicado a la entrada de la clínica, en la que el
usuario individualmente se toma la temperatura, sin llevar a cabo ningún tipo
de registro de temperatura o datos identificativos de dicho usuario. Es decir, se
utilizan termómetros laser, para las mediciones de temperatura sin que este
proceso vaya acompañado del registro de la temperatura obtenida de los
usuarios de la clínica”.

Señala SALUS BALEARES que, pese a que esta Agencia considere que la
temperatura corporal es un dato de salud, la toma de temperatura realizada (medición
laser frente o mano), NO es un tratamiento de datos de carácter personal, como ha
quedado probado anteriormente. (Procedimiento Nº: E/03884/2020 AEPD: Metro de
Bilbao)

Insiste SALUS BALEARES que no existe un tratamiento de datos, porque conforme se
estipula en los primeros artículos del RGPD, y más concretamente en el artículo 2.1
relativo al ámbito material de aplicación de esta norma, “El presente Reglamento se
aplica al tratamiento total o parcialmente automatizado de datos personales, así como
al tratamiento no automatizado de datos personales contenidos o destinados a ser
incluidos en un fichero”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/36

Reseña SALUS BALEARES que, tras la descripción del ámbito de aplicación del
reglamento, desde su punto de vista, no existe un tratamiento automatizado de datos
personales, ni tampoco un tratamiento no automatizado destinado a ser incluido en un
fichero, entendiendo este concepto como “todo conjunto estructurado de datos
personales, accesibles con arreglo a criterios determinados, ya sea centralizado,
descentralizado o repartido de forma funcional o geográfica”, de acuerdo con el
artículo 4 RGPD, punto sexto. Por este motivo, esta actuación debe quedar fuera del
ámbito de aplicación de la normativa sobre protección de datos.

A continuación, afirma SALUS BALEARES que, con independencia de que la situación
debiera localizarse bajo la defensa de la normativa de protección de datos o no,
debido a la existencia o no de tratamiento automatizado o no automatizado, de
acuerdo al ámbito material de aplicación, también puede esgrimirse que, en el
presente caso concreto, la utilización de la información necesaria para cumplir con la
finalidad del control de temperatura, tal y como lo ha implementado SALUS
BALEARES, no constituye un dato personal si atendemos a la definición que el propio
RGPD ofrece sobre este concepto en el punto primero del artículo 4, cuando estipula
que datos personales serán “toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”.

En efecto, indica SALUS BALEARES, la primera parte se divide en 4 elementos bien
diferenciados, que el propio ya extinto Grupo de Trabajo del artículo 29 (GT29) ya
había analizado separadamente: “Información” + “Sobre” + “Persona física” +
“Identificada o identificable”.

A juicio de SALUS BALEARES, en el caso que nos ocupa, en la verificación de la
temperatura se cumplen los 3 primeros, pero no el señalado en cuarto lugar. Es decir,
por supuesto que la medición de temperatura podrá asociarse a una persona física,
pero lo que no será posible, de acuerdo con los datos que la clínica recoge, será
conocer la identidad de esa persona, de forma razonable, conforme el propio GT29
establecía, ya que no hay recogida ni asociación a otro identificador directo o indirecto
que permita conocer la identidad de una persona.

En estos casos, según el informe sobre el concepto de datos personales emitido por el
GT29 ya en 2007, simplemente nos encontraremos ante datos anónimos que no
precisaran de la protección de la legislación sobre privacidad, por el simple hecho de
que éste último derecho no se verá afectado.

Asimismo, reseña SALUS BALEARES que esta línea argumental que defiende ha sido
la tomada por diferentes Autoridades de Control en la Unión Europea:

“CNIL (Francia): Reconoce públicamente que las regulaciones sobre el
tratamiento de datos sólo se aplican al tratamiento automatizado (en particular,
TI) o al tratamiento no automatizado de datos personales destinados a ser
incluidos en un fichero. Por lo tanto, concluye que si sólo había verificación de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/36

la temperatura por medio de un termómetro manual (como, por ejemplo, de tipo
infrarrojo sin contacto) a la entrada de un sitio, sin dejar rastro, ni ninguna otra
operación que se lleve a cabo (como retroalimentación de información, etc.),
esta situación no se encuadra bajo las regulaciones de protección de datos.
Puede consultarse este comunicado en el siguiente enlace:

https://www.cnil.fr/fr/la-cnil-appelle-la-vigilance-sur-lutilisation-des-cameras
ditesintelligentes-et-des-cameras Autoriteit Persoonsgegevens (Holanda):

En la misma línea, la Autoridad de Control holandesa reconoce que el RGPD
no es aplicable a situaciones en las que sólo se lea la temperatura, sin que ésta
se registre ni se almacene en un sistema automatizado, tal y como es aplicable
a la presente actuación de la cual se ha recibido reclamación. Sí que deja
abierta la situación a que dicho control pueda afectar a otros derechos, pero no
al de la protección de datos en este caso.

Este comunicado puede consultarse en el siguiente enlace:

https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/corona/temperaturen-
tijdens-corona

Concluye SALUS BALEARES que, pese a que la temperatura corporal pueda ser un
dato de salud, la misma como tal no constituye un dato de carácter personal, ya que
no identifica al interesado, y por ende la normativa vigente en materia de protección de
datos, no sería de aplicación, y dejaría sin efecto la aplicación de esta agravante de la
sanción propuesta.

Artículo 76.2.b) LOPDGDD. Vinculación de la actividad del infractor con la
realización de tratamientos de datos de carácter personal: El desarrollo de la
actividad empresarial que desempeña SALUS BALEARES supone un
tratamiento continuo de datos personales, muchos de ellos de salud. Por tanto,
se trata de una empresa habituada al tratamiento de datos personales.

En referencia a este último agravante, señala SALUS BALEARES que de nuevo se ha
tenido en cuenta la actividad de todo el grupo y no la actividad concreta de la clínica
Asistel Moraira, donde supuestamente se ha producido la infracción en materia de
protección de datos, tal y como se ha argumentado ut supra, rebatiendo la aplicación
del agravante del Artículo 83.2.a) RGPD al considerar número de interesados
afectados alto, cuando no lo es.

El número total de pacientes de la clínica Asistel Moraira en todo 2022, año en el cual
se produjo la reclamación, fue de 2.375 personas.

III.-En referencia a los ACUERDOS de inicio del procedimiento sancionador

Alega SALUS BALEARES que en el Acuerdo de Inicio se evidencia un defecto de
forma, que conlleva la anulación del total o parte de la sanción propuesta, pues se
acuerda por duplicado iniciar procedimiento sancionador contra ella, por presunta
infracción del Artículo 5.1.f) proponiendo una sanción de multa administrativa de
cuantía 20.000,00 euros (VEINTE MIL EUROS) incumpliendo así el principio de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/36

derecho procesal NON BIS IN IDEM. Este principio viene a establecer la prohibición de
que un mismo hecho pueda ser sancionado varias veces cuando existe identidad de
sujeto, de hechos y fundamento, como es el caso que nos ocupa, el cual se pretende
castigar doblemente a CMSB con sanción de 20.000,00 euros (VEINTE MIL EUROS)
por el mismo presunto incumplimiento. Es por ello que solicita a esta Agencia que
anule la propuesta de sanción o recalcule el valor de la misma.

Indica asimismo SALUS BALEARES que, en referencia a la propuesta de sanción de
10.000,00 euros (DIEZ MIL EUROS) por supuesta infracción del artículo 32 del RGPD,
se pone de manifiesto a esta Agencia que en el expediente EXP202202309 no se ha
procedido a iniciar ningún procedimiento sancionador contra SALUS BALEARES
motivado por la infracción del artículo 32 del RGPD, motivo por el cual solicita que se
declare nulo el presente procedimiento sancionador, ya que a tenor lo previsto en la
normativa procesal administrativa, no se puede llevar a cabo una propuesta de
sanción sin haber iniciado un procedimiento administrativo sancionador.

Por lo expuesto, suplica SALUS BALEARES que se acuerde dar por cerrado el
expediente relativo a la presente reclamación, declarando nulo el presente
procedimiento sancionador por defectos de forma y deje sin efecto las propuestas de
sanción.

SÉPTIMO: Con fecha 15 de enero de 2024 se formuló Propuesta de Resolución,
proponiendo que por la Directora de la Agencia Española de Protección de Datos se
sancione a CENTRO MÉDICO SALUS BALEARES, S.L., con NIF B07060478, por una
infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5 del RGPD, con una
multa de 20.000,00 euros (VEINTE MIL EUROS), y por una infracción del artículo 32
del RGPD, tipificada en el artículo 83.4 del RGPD, con una multa de 10.000,00 euros
(DIEZ MIL EUROS).

OCTAVO: Notificada la citada Propuesta de Resolución conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada
presentó escrito de alegaciones en el que, en síntesis, manifiesta lo siguiente:

Primera. – LA AEPD NO HA PROBADO HECHO ALGUNO QUE SUPONGA LA
COMISIÓN DE UNA INFRACCIÓN POR PARTE DE CMSB Y LA IMPOSICIÓN DE
LAS SANCIONES PROPUESTAS.

Alega SALUS BALEARES que la propuesta de sanción se basa en una prueba
insuficiente. En el expediente administrativo únicamente consta una fotografía
realizada por el denunciante.

Entiende SALUS BALEARES que la propuesta de resolución carece de prueba
suficiente para desvirtuar la presunción de inocencia. La eventual resolución que se
dicte con apoyo en la prueba que consta en el expediente administrativo considera
SALUS BALEARES que sería nula de pleno Derecho por ser manifiestamente
inmotivada, indicando los siguientes motivos:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/36

1. La propuesta de resolución considera probados los hechos constitutivos de
infracción que se imputan a SALUS BALEARES sobre la base única de las fotografías
aportadas por la persona denunciante.

2. La AEPD no ha realizado ninguna comprobación sobre la realidad y fecha de las
fotografías tomadas.

3. Asimismo, la AEPD no ha realizado actividad probatoria en la tramitación del
expediente administrativo para la imposición de la sanción a SALUS BALEARES. Esto
es, no se ha personado en el local de mi representada para constatar la realidad que
presuntamente se indica en las fotografías.

4. De las imágenes aportadas por la persona denunciante la AEPD colige los
siguientes hechos probados:
- La clínica utiliza un dispositivo electrónico para medir la temperatura mediante un
sensor de proximidad.
- El dispositivo se encuentra situado en la sala de espera y en la recepción de la
clínica.
- La temperatura de la persona se muestra en la pantalla del termómetro.

Sin embargo, a juicio de SALUS BALEARES, se trata de hechos que no desvirtúan su
presunción de inocencia.

Segunda. – SALUS BALEARES NO HA TRATADO DATOS DEL DENUNCIANTE.

Reitera SALUS BALEARES que, dentro del proceso de toma de temperatura del
reclamante, no existió un tratamiento de datos personales. En ningún momento
derivaron acontecimientos que hicieron a este usuario identificable, todo ello, en base
a las siguientes circunstancias objetivas:

1. El reclamante no se sometió a la toma de temperatura.

2. La toma de temperatura se realizó mediante un dispositivo que medía la
temperatura sin registro, por tanto, no se almacenaba ninguna de las tomas.

3. El dispositivo se encontraba situado en una pared al lado de recepción, donde el
lateral derecho incluye elementos ornamentales para evitar que desde el lateral
derecho se pudiera visualizar el resultado de la medición. Adicionalmente, la medición
de temperatura se realizaba mediante la aproximación de la mano de la persona en
cuestión. Por ello, la propia pantalla del dispositivo quedaba tapada tanto por la mano
de la persona que tomaba la temperatura, como por el propio cuerpo.

4. Igualmente, la distancia obligatoria que había que mantener entre personas no
permitía la visualización de este dato salvo para la persona que estaba tomándose la
temperatura.

5. Todo el personal de las instalaciones debía acceder con mascarilla a las mismas
(incluidos los pacientes que se tomaban la temperatura).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/36

6. El aviso a los pacientes para acceder a la consulta no se realiza mediante datos
personales. La llamada a clientes se realiza con un código, manteniendo su anonimato
en todo momento.

En este sentido, alega SALUS BALEARES que en el caso de la comprobación de la
temperatura corporal como medida preventiva de la expansión de la COVID – 19, no
se realizaron ninguna de las siguientes operaciones que contempla el RGPD en su
artículo 4 cuando define lo que se entiende por “tratamiento” de datos personales:

▪ Registro: no se registró la toma de temperatura corporal en ningún tipo de
sistema o dispositivo, automatizado o no automatizado.
▪ Estructuración: no se estructuró la información al no realizarse tratamiento de
datos personales.
▪ Modificación: la información no fue cambiada ni alterada.
▪ Conservación: la información no se almacenó un determinado período de
tiempo.
▪ Extracción: la información no fue obtenida de un sistema o dispositivo original
para su envío o traspaso a otro sistema o dispositivo.
▪ Difusión: no se cedió ni comunicó los datos a una persona distinta del
interesado.
▪ Comunicación por transmisión: no se enviaron los datos a otro destinatario
desde su sistema o dispositivo origen a través de medios electrónicos.
▪ Cotejo: no se analizaron los datos de dos o más tratamientos o sistemas para
establecer similitudes y diferencias y desarrollar algún tipo de valoración.
▪ Limitación: no resultó de aplicación puesto que, el dispositivo, no almacenaba
datos ni realizaba ningún tratamiento ulterior.
▪ Comunicación: debido a las medidas existentes y por donde estaba colocado
el dispositivo, no se reveló ningún dato a una persona distinta del interesado.

Tercera. – EL EVENTUAL TRATAMIENTO DE DATOS FUE SEGURO. EN TODO
MOMENTO SE RESPETARON LAS INDICACIONE DE LA LOPD Y DEL
REGLAMENTO.

Señala SALUS BALEARES que aplicó las medidas necesarias para garantizar la
confidencialidad del dato de temperatura teniendo en cuenta lo dispuesto en el artículo
32 del RGPD, que preconiza que “la técnica, los costes de aplicación, y la naturaleza,
el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y
gravedad variables para los derechos y libertades de las personas físicas.”

Indica SALUS BALEARES que la toma se realizó dentro de las instalaciones de la
clínica. Y, dentro de la clínica, en un lugar de acceso individual a los clientes. Esto es,
en ningún momento otro cliente/paciente puede observar la temperatura que marca el
termómetro.

Asimismo, señala SALUS BALEARES que, en ese momento, la clínica no disponía de
personal necesario para que asumiera solo la función de control de la temperatura de
los usuarios, ni las instalaciones disponían de un espacio contiguo que pudiera permitir
tomar la temperatura de forma individual, pero a la vez que facilitara al personal laboral
el poder controlar los protocolos de actuación ante el COVID.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/36

Cuarta. – DEL DATO AISLADO DE LA TEMPERATURA NO PODÍA CONOCERSE LA
IDENTIDAD DE LA PERSONA.

Alega SALUS BALEARES, en relación con el dato de temperatura, que si bien se
considera un dato de salud, en el momento de la toma de temperatura los posibles
usuarios de las instalaciones no podían disponer de información necesaria que
vinculara este dato con otros que hicieran identificable a la persona que procede a la
toma de temperatura.

Indica SALUS BALEARES que para poder interpretar, el concepto “información
relativa a una persona física identificada o identificable”, debemos acudir al
considerando 26 del RGPD el cual determina que:

“[…] para determinar si una persona física es identificable, deben tenerse en cuenta
todos los medios, como la singularización, que razonablemente pueda utilizar el
responsable del tratamiento o cualquier otra persona para identificar directa o
indirectamente a la persona física. Para determinar si existe una probabilidad
razonable de que se utilicen medios para identificar a una persona física, deben
tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesarios
para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento
del tratamiento como los avances tecnológicos.”

Por lo expuesto anteriormente, entiende SALUS BALEARES que no era posible
identificar a los usuarios que se tomaban la temperatura. De hecho, esta parte no
puede identificar a las personas que aparecen en la fotografía aportada por el
reclamante.

Sexta. –NO SE HA TENIDO EN CUENTA EL CONTEXTO DE CRISIS SANITARIA

Recuerda SALUS BALEARES el momento y las circunstancias en las que se han
producido, tan excepcionales como una pandemia a nivel mundial. El sector sanitario
que fue el más castigado. Las medidas de seguridad como la toma de temperatura
eran imprescindibles para garantizar la salud de todos los usuarios que pudieran
acceder a la clínica –tanto personal interno como pacientes–. La propia AEPD lo ha
tenido en cuenta en anteriores resoluciones.

Por lo expuesto, SALUS BALEARES solicita que se acuerde el archivo de las
actuaciones al entender que no ha cometido ninguna infracción. Y subsidiariamente,
solicita que se tengan en cuenta las circunstancias de crisis sanitaria mundial en las
que presuntamente SALUS BALEARES cometió las infracciones y atenúe las
eventuales sanciones que imponga.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO: Ha quedado acreditado, mediante las fotos aportadas por el reclamante, lo
siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/36

-En la clínica se utiliza un dispositivo electrónico que mide la temperatura de forma
automática siendo para ello necesario que los usuarios se coloquen cerca y enfrente
del mismo.
- El dispositivo se encontraba situado en una pared en una zona donde se encuentra
la sala de espera y la recepción de la clínica
- El resultado de la temperatura corporal se quedaba reflejado en la pantalla del
dispositivo durante varios segundos lo que, al apartarse la persona del mismo,
permitía que fuera visible para terceras personas que allí se encontrasen.

SEGUNDO: SALUS BALEARES, en su escrito de respuesta al traslado de la
reclamación y solicitud de información, presentado con fecha 28 de marzo de 2022 13
(Número de registro: REGAGE22e00009701065), indica lo siguiente:
“El sistema de medición utilizado se trata de un termómetro laser ubicado a la entrada
de la clínica, en la que el usuario individualmente se toma la temperatura y el personal
de admisión de la clínica médica observa dicha medición, sin llevar a cabo ningún tipo
de registro de temperatura o datos identificativos de dicho usuario. Es decir, se utilizan
termómetros laser, para las mediciones de temperatura sin que este proceso vaya
acompañado del registro de la temperatura obtenida de los usuarios de la clínica”.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Cuestiones previas

En relación con la toma de temperatura de las personas como parte de las medidas
adoptadas en centros de trabajo para ayudar a prevenir la propagación de la pandemia
de COVID-19, se considera necesario resaltar que la temperatura corporal de las
personas es un dato de salud en sí mismo, a tenor de la definición contenida en el
artículo 4, apartado 15, del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/36

Según el artículo 4 del RGPD, apartados 1 y 2, se entenderá por «datos personales»:
“toda información sobre una persona física identificada o identificable”; y por
«tratamiento»: “cualquier operación o conjunto de operaciones realizadas sobre datos
personales o conjuntos de datos personales, ya sea por procedimientos automatizados
o no, como la recogida, registro, organización, estructuración, conservación,
adaptación o modificación, extracción, consulta, utilización, comunicación por
transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o
interconexión, limitación, supresión o destrucción.”

Partiendo de lo anterior, los controles de temperatura de las personas pueden
constituir un tratamiento de datos de salud relativo a una persona física identificada o
identificable, y como tal deben ajustarse a una de las bases jurídicas enumeradas en
el artículo 6 del RGPD y concurrir alguna de las excepciones específicas que se
relacionan en el artículo 9 del RGPD.

Con carácter general, el empleador tiene la obligación de garantizar la seguridad y
salud de las personas trabajadoras a su servicio en los aspectos relacionados con el
trabajo, como se desprende de los artículos 14 y siguientes de la Ley 31/1995, de 8 de
noviembre, de prevención de Riesgos Laborales. Esta obligación opera a la vez como
excepción que permite el tratamiento de datos de salud, al amparo de las
circunstancias previstas en el artículo 9.2.h) del RGPD, y como base jurídica que
legitima el tratamiento, por cuanto el tratamiento es necesario para el cumplimiento de
una obligación legal impuesta al empleador (artículo 6.1.c) del RGPD).

No cabe duda de que en una situación de crisis sanitaria como la ocasionada por la
COVID-19, el empleador está obligado a adoptar medidas extraordinarias
encaminadas a prevenir nuevos contagios y estas medidas deben aplicarse
atendiendo a los criterios definidos por las autoridades sanitarias.

En el ámbito de las empresas, el Ministerio de Sanidad, en su documento
“Procedimiento de actuación para los servicios de prevención de riesgos laborales
frente a la exposición al SARS-CoV-2”, indica que “La intervención de las empresas, a
través de los servicios de prevención (SPRL), frente a la exposición al SARS-COV-2
ha sido y es crucial, adaptando su actividad con recomendaciones y medidas
actualizadas de prevención (…) con el objetivo general de limitar los contagios:
medidas de carácter organizativo, de protección colectiva, de protección personal, de
trabajador especialmente vulnerable y nivel de riesgo, de estudio y manejo de casos y
contactos ocurridos en la empresa y de colaboración en la gestión de la incapacidad
temporal” y añade que “las empresas, a través de los servicios de prevención, están
llamadas a colaborar con las autoridades sanitarias en la detección precoz de todos
los casos compatibles con COVID-19 y sus contactos, para controlar la transmisión.”

En este contexto, debe entenderse que el control de la temperatura corporal de los
trabajadores realizado por los empleadores, como medida para permitir el acceso a los
centros de trabajo con la finalidad de limitar los contagios, dado que la fiebre es un
síntoma de la enfermedad causada por el SARS-CoV-2, como parte de un conjunto
más amplio de medidas que incluyen medidas preventivas, de higiene, protectoras,
etc., cumple con los criterios indicados por las autoridades sanitarias.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/36

En el caso examinado, SALUS BALEARES, en concordancia con los criterios
indicados, manifiesta que realiza controles de temperatura corporal a sus trabajadores
para cumplir con sus obligaciones en materia de salud y seguridad. En consecuencia,
de acuerdo con lo razonado, este tratamiento de datos de salud de los trabajadores
encuentra su legitimación en la causa prevista en el artículo 6.1.c) del RGPD y en las
excepciones que habilitan el tratamiento de datos de salud, recogidas en el artículo
9.2.h) del RGPD.

III

En relación con la toma de temperatura de los usuarios que acceden a un
establecimiento, los controles de temperatura de las personas pueden constituir un
tratamiento de datos de salud relativo a una persona física identificada o identificable,
y como tal deben ajustarse a una de las bases jurídicas enumeradas en el artículo 6
del RGPD y concurrir alguna de las excepciones específicas que se relacionan en el
artículo 9 del RGPD.

Para determinar si en un caso concreto se ha producido un tratamiento de datos de
una persona identificada o identificable, se ha de partir del tipo de dispositivo
empleado y tener en cuenta otras circunstancias del proceso de la toma de
temperatura que puedan hacer identificable a la persona, como en el caso de que se
registre o no la temperatura corporal o que la captación de la temperatura en los
establecimientos abiertos al público se realice con publicidad, de tal manera que la
persona afectada pueda ser identificada por terceros.

En los controles de temperatura corporal que se llevan a cabo en la entrada de los
establecimientos abiertos al público para tomar la temperatura a los visitantes o
clientes se suelen utilizar dispositivos manuales de medición de la temperatura, como
un termómetro manual que únicamente está concebido para tomar la temperatura
corporal.

Cuando estos controles de temperatura no van acompañados de un control de
identidad de las personas que pretenden acceder al establecimiento, es decir cuando
la toma de temperatura no se vincula a una persona determinada a través de su
registro o anotación, tales medidas no se encontrarían, en principio, incluidas en el
ámbito de aplicación del RGPD al no asociarse la temperatura a una persona
identificada o identificable.

Ahora bien, denegar el acceso o asistencia a una persona con motivo de su
temperatura puede desvelar a terceros que no tienen ninguna justificación para
conocerlo que la persona a la que se ha denegado la entrada tiene una temperatura
corporal por encima de lo considerado no relevante y, sobre todo, que puede estar
contagiada por el virus, dado que la fiebre es un síntoma de la enfermedad causada
por el SARS-CoV-2.

Asimismo, si la toma de temperatura se realiza de tal forma que el resultado es visible
o público, supone también que se desvela a terceros. Por tanto, es necesario
establecer en cada caso si de las concretas circunstancias que concurrieron en el
proceso de toma de temperatura de una persona determinada se derivaron
acontecimientos que la hicieron identificable.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/36

En el supuesto examinado, tal y como ha quedado acreditado mediante fotografías
aportadas por la parte reclamante, se utiliza un dispositivo electrónico que mide la
temperatura de forma automática siendo para ello necesario que los usuarios se
coloquen cerca y enfrente del mismo. Dicho dispositivo está situado en una pared
cerca de la sala de espera y al lado de la recepción de la clínica, ofreciendo la
temperatura corporal en el frontal de dicho dispositivo, siendo perfectamente visible
por las personas que se encuentren en dicha sala, así como por las que accedan y se
encuentren en la zona de recepción del establecimiento.

El dato personal de la temperatura es un dato de salud en sí mismo. Igualmente, en el
supuesto de tener temperatura alta ello presupone además la existencia de una
enfermedad y, en el contexto y momento en que se toma, la posible existencia de la
enfermedad causada por el SARS-CoV-2, siendo también sin lugar a duda datos de
salud y que se están dando a conocer de forma pública a terceras personas y respecto
de personas identificadas o identificables de forma directa.

IV
Alegaciones al Acuerdo de Inicio

En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar
lo siguiente:

I. En referencia a si la toma de temperatura supone un tratamiento de datos de
carácter personal.

Alega la reclamada que, tal y como señala la propia Agencia en el Acuerdo de Inicio,
cuando los controles de temperatura no van acompañados de un control de identidad
de las personas que pretenden acceder al establecimiento, es decir cuando la toma de
temperatura no se vincula a una persona determinada a través de su registro o
anotación. Añade SALUS BALERAES que este mismo criterio sigue la Agencia en
otros procedimientos, como el E/03884/2020, en los cuales se ha determinado que la
medición de la temperatura a través de termómetros sin registro de los interesados no
es un tratamiento de datos personales.

Frente a ello, procede señalar, en primer lugar, lo que se señaló exactamente por esta
Agencia en el Acuerdo de Inicio del presente procedimiento sancionador es lo que se
ha transcrito en el Antecedente de Hecho III, reproduciéndose de nuevo alguno de los
párrafos a los que literalmente ser refiere la reclamada:

“Cuando estos controles de temperatura no van acompañados de un control de
identidad de las personas que pretenden acceder al establecimiento, es decir
cuando la toma de temperatura no se vincula a una persona determinada a
través de su registro o anotación, tales medidas no se encontrarían, en
principio, incluidas en el ámbito de aplicación del RGPD al no asociarse la
temperatura a una persona identificada o identificable.

17/36

temperatura corporal por encima de lo considerado no relevante y, sobre todo,
que puede estar contagiada por el virus, dado que la fiebre es un síntoma de la
enfermedad causada por el SARS-CoV-2. Asimismo, si la toma de temperatura
se realiza de tal forma que el resultado es visible o público, supone también
que se desvela a terceros. Por tanto, es necesario establecer en cada caso si
de las concretas circunstancias que concurrieron en el proceso de toma de
temperatura de una persona determinada se derivaron acontecimientos que la
hicieron identificable.

En el supuesto examinado, tal y como ha quedado acreditado mediante
fotografías aportadas por la parte reclamante, se utiliza un dispositivo
electrónico que mide la temperatura de forma automática siendo para ello
necesario que los usuarios se coloquen cerca y enfrente del mismo. Dicho
dispositivo está situado en una pared cerca de la sala de espera y al lado de la
recepción de la clínica, ofreciendo la temperatura corporal en el frontal de dicho
dispositivo, siendo perfectamente visible por las personas que se encuentren
en dicha sala, así como por las que accedan y se encuentren en la zona de
recepción del establecimiento” (el subrayado es nuestro)

Por otro lado, en el expediente E/03884/2020 que trae a colación la reclamada para,
según entiende, sostener que siempre que al tomar la temperatura no se realice un
registro de los interesados no se está ante un tratamiento de datos, se significa lo
siguiente:

-Dicho expediente se refiere a la toma de temperatura corporal a usuarios del
metro de Bilbao mediante cámaras termográficas sin reconocimiento y sin
grabación, que permitía conocer la medición de temperatura sin identificación,
sin grabación y sin registro de datos de las personas al no requerirse su
identificación. Esos datos se visualizaban en tiempo real y únicamente por
personal sanitario.

-Se indicó expresamente en dicho expediente que:

“Para determinar si en un caso concreto se ha producido un
tratamiento de datos de una persona identificada o identificable, se ha
de partir del tipo de dispositivo empleado y tener en cuenta otras
circunstancias del proceso de la toma de temperatura que puedan
hacer identificable a la persona, como en el caso de que se registre o
no la temperatura corporal o que la captación de la temperatura en los
establecimientos abiertos al público se realice con publicidad, de tal
manera que la persona afectada pueda ser identificada por terceros.
(…)

En el supuesto examinado, se utilizan cámaras termográficas y
termómetros manuales para las mediciones de temperatura sin que
este proceso vaya acompañado del registro de la temperatura obtenida
de los usuarios del metro. Tampoco se ha constatado la concurrencia
de circunstancias especiales que hayan permitido vincular el citado
tratamiento a una persona identificada o identificable.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/36

-Y finalmente, se decide por esta Agencia archivar las actuaciones basado en
que: “de acuerdo con lo razonado, no se aprecia en este caso que el
tratamiento de datos que se realiza se refiera a personas físicas identificadas o
identificables, quedando en consecuencia excluido del ámbito de aplicación del
RGPD.” (el subrayado es nuestro).

Por tanto, tanto en lo que se indicó en el Fundamento de Derecho II del Acuerdo de
Inicio del presente procedimiento sancionador y que se reproduce también en esta
propuesta de resolución, así como en el supuesto del expediente E/03884/2020, no
sólo se pone el acento en que la temperatura no se registra posteriormente con
identificación de los interesados, sino que, además, el dato no debe ser accesible por
terceros no autorizados, y en el caso del Metro de Bilbao únicamente ve el resultado
de la temperatura corporal el personal sanitario autorizado al efecto, sin que el resto
de los usuarios del metro puedan visualizar la temperatura corporal que arroja el
dispositivo. Ello supone que la toma de temperatura se realiza de tal forma que no se
refiere a personas físicas identificadas ni identificables.

Sin embargo, en el caso que nos ocupa, se ha evidenciado, a través de las fotografías
aportadas por el reclamante, que la temperatura corporal que detecta el dispositivo es
perfectamente visible para otras personas que se encuentren en la sala de espera y en
zonas cercanas a la recepción, lo que permite vincular el dato personal (la
temperatura) con una persona identificada o identificable, ya que en el mismo
momento en que una persona se toma la temperatura, el resultado es visible por el
resto de personas que se encuentren en ese momento en la sala de espera o en la
zona de recepción de la clínica.

Por tanto, sí que estaríamos aquí ante un dato personal referido a una persona
identificada o identificable, por cuanto el dato de la temperatura corporal se visualiza
por terceras personas justo cuando la persona directamente se está tomando la
temperatura en ese mismo momento. Es decir, terceros no autorizados están viendo
tanto la temperatura concreta como la persona a la cual pertenece esa temperatura. Y
eso la hace perfectamente identificada o identificable.

Así, en el Dictamen 4/2007 sobre el concepto de datos personales del Grupo de
Trabajo del Artículo 27 (136WP) se indica que:

De modo general, se puede considerar «identificada» a una persona física
cuando, dentro de un grupo de personas, se la «distingue» de todos los demás
miembros del grupo. Por consiguiente, la persona física es «identificable»
cuando, aunque no se la haya identificado todavía, sea posible hacerlo (que es
el significado del sufijo «ble»). Así pues, esta segunda alternativa es, en la
práctica, la condición suficiente para considerar que la información entra en el
ámbito de aplicación del tercer componente. (pg. 12)

Este tratamiento de toma de temperatura de esta manera en que se ha realizado
supone una injerencia particularmente intensa en los derechos de las personas
afectadas. Por una parte, porque afecta a datos relativos a la salud de las personas,
no sólo porque el valor de la temperatura corporal es un dato de salud en sí mismo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/36

sino también porque, a partir de él, se asume que una persona padece o no una
concreta enfermedad, como es en estos casos la infección por coronavirus.

Por otro lado, en cuanto a lo alegado por SALUS BALEARES respecto de que el
dispositivo se encuentra en una pared al lado de recepción, donde existen elementos
ornamentales para evitar que se puedan visualizar el resultado de la medición, se
significa, en primer lugar, que en las fotografías aportadas por el reclamante se
evidencia claramente que desde la posición en que él está (zona de sala de espera) se
visualiza claramente el dispositivo de medición y el resultado que arroja, pues el
elemento ornamental queda al otro lado y no interrumpe la visibilidad en modo alguno,

Y, en segundo lugar, no procede aceptar que dicho elemento ornamental, consistente
en una planta dentro de una maceta de tamaño mediano, situada en una esquina
encima del mostrador de recepción, pueda considerarse una medida técnica u
organizativa apropiada para garantizar una seguridad adecuada, concretamente para
garantizar la confidencialidad de los datos personales, no sólo por ser inapropiado en
sí mismo, sino porque, tal y como se desprende de las fotos, es fácil situarse al otro
lado del mostrador (y al otro lado de la planta) para visualizar perfectamente el
resultado que arroja el dispositivo de medición de temperatura.

Asimismo, señala la reclamada que al realizarse la medición acercando la mano, a
escasos centímetros del dispositivo, el cuerpo de la persona obstruye visualmente el
resultado, por lo que es prácticamente imposible que la medición de la temperatura
sea visible por nadie más que por ella. Sin embargo, y en contra de lo alegado, de las
fotos aportadas se evidencia que el resultado que arroja el dispositivo (la temperatura
corporal) se mantiene en la pantalla del mismo durante varios segundos, puesto que
en las fotos se aprecia que la persona (una mujer) que se toma la temperatura, se la
ve después en otra foto alejada del dispositivo y, sin embargo, la temperatura arrojada
sigue visualizándose en éste.

Por otro lado, alega SALUS BALEARES que no se ha examinado el presente caso de
forma fehaciente por la Agencia, ya que no le consta ninguna visita inspectora a la
clínica en cuestión, en la que se haya examinado o revisado si las fotografías tomadas
eran un reflejo fiel de la realidad.

A este respecto, de las fotos aportadas por el reclamante se reflejan claramente los
hechos. Asimismo, la propia reclamada ha utilizado una de las fotos aportadas por el
reclamante para hacer valer la existencia de la planta ornamental como medida de
protección frente a la visualización del termómetro, describiendo la situación del éste y
la toma de la temperatura corporal de los usuarios conforme a dicha foto. Asimismo,
SALUS BALEARES, tal y como se ha indicado en el Hecho Probado Segundo, en su
escrito de respuesta al traslado de la reclamación y solicitud de información dirigido
por esta Agencia, indicó expresamente que “El sistema de medición utilizado se trata
de un termómetro laser ubicado a la entrada de la clínica, en la que el usuario
individualmente se toma la temperatura y el personal de admisión de la clínica médica
observa dicha medición, sin llevar a cabo ningún tipo de registro de temperatura o
datos identificativos de dicho usuario. Es decir, se utilizan termómetros laser, para las
mediciones de temperatura sin que este proceso vaya acompañado del registro de la
temperatura obtenida de los usuarios de la clínica”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/36

Alega SALUS BALEARES que de las fotografías no queda probado que el reclamante
llevase a cabo su medición, dado que en las mismas no se visualiza el momento en
que el interesado (reclamante) se toma la temperatura, así como que de lo que el
mismo manifestó en su reclamación, no procedió a la medición de su temperatura,
motivo por el que no se le permitió acceder al centro, y que ello supone que no ha
habido ningún tratamiento de datos personales del mismo.

Frente a ello, debe aclararse que el tratamiento de datos personales que se entiende
que incumple la normativa de protección de datos no se refiere al tratamiento realizado
o no realizado respecto del reclamante en concreto, pues el mismo no accedió a que
se le tomara la temperatura, sino de la forma en que la clínica toma la temperatura a
todas las personas que acceden a la misma. Es decir, del tratamiento que lleva a cabo
respecto de la toma de temperatura a todas las personas que acceden a la clínica.

II. En referencia a la cuantificación de las sanciones

Manifiesta SALUS BALEARES no estar de acuerdo con las circunstancias que se han
tenido como agravantes de la sanción indicadas en el Acuerdo de Inicio.

Así, indica SALUS BALEARES que, en cuanto en relación al artículo 83.2.a), se ha
considerado que la naturaleza de la infracción es grave porque acarrea una pérdida de
confidencialidad y, por tanto, de disposición y control sobre los datos personales, pero
que, sin embargo, no hubo un tratamiento de datos porque el reclamante nunca llegó a
medir su temperatura, por lo que no se pudo vulnerar confidencialidad alguna.

Frente a ello, tal y como se ha señalado en el punto anterior, el presente procedimiento
sancionador no se ha iniciado por considerar que se ha vulnerado la confidencialidad
de los datos del reclamante, sino porque se ha vulnerado la confidencialidad en la
toma de la temperatura de las personas que acceden a la clínica, por cuanto el
resultado de dicha temperatura era visible para el resto de las personas que allí se
pudieran encontrar, es decir, por terceros no autorizados.

Asimismo, señala SALUS BALEARES que, en cuanto al número de interesados
afectados, esta Agencia no ha indicado el criterio para determinar que el número de
afectados es alto, al no conocer el número de clientes que se recibe en la clínica y no
haberse presentado otras reclamaciones.

Frente a ello, procede recordar que no puede considerarse que los afectados han sido
pocos o aislados, por cuanto la toma de temperatura en las circunstancias indicadas
se ha estado llevando a cabo durante el largo período de tiempo en que fue obligatoria
como medida de prevención durante la pandemia derivada del virus COVID-19. A
mayor abundamiento, la propia reclamada en su escrito de alegaciones al Acuerdo de
Inicio reconoce expresamente que el número de pacientes de la clínica Asistel Moraira
en todo 2022, año en el que se produjo la reclamación, fue de 2.375 personas,
cantidad nada desdeñable de personas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/36

En cuanto a que la toma de temperatura resultaba recomendada de conformidad con
la normativa sanitaria establecida por los organismos sanitarios competentes, así
como por la Ley de prevención de riesgos laborales respecto de sus empleados, se
significa que, tal y como se indicó en el Fundamento de Derecho Primero del Acuerdo
de Inicio y que se reproduce de nuevo en el Fundamento de Derecho Primero de la
presente propuesta y al que procede remitirse, la toma de temperatura como medida
de protección frente al COVID 19 se encuentra legitimada. Es decir, no se ha
cuestionado que el tratamiento sea lícito, que se pueda llevar a cabo. Sin embargo,
que exista legitimación para el tratamiento no es óbice para que el mismo se tenga
que realizar cumpliendo con el resto de las obligaciones y requisitos impuestos por la
normativa en materia de protección de datos, entre ellos, especialmente, el garantizar
la confidencialidad de los datos personales tratados.

En relación con la aplicación del artículo 83.2.b) del RGPD, no está de acuerdo
SALUS BALEARES en que se aplique la existencia de negligencia por cuanto insiste
en que no hubo tratamiento de datos personales, por cuanto el reclamante nunca llegó
a medirse la temperatura.

Asimismo, indica que tampoco se le puede aplicar la agravante del artículo 83.2.g) del
RGPD, relativo a la categoría de datos afectados, que en el presente caso sería datos
de salud, por el mismo motivo de que no ha existido un tratamiento de datos
personales, tal y como se determinó en el expediente E/03884/2020.

A este respecto, procede remitirse a lo argumentado en el presente Fundamento de
Derecho respecto al tratamiento de datos que supone la toma de temperatura corporal
llevada a cabo por la reclamada, especialmente el hecho de que, en el presente caso,
como quiera que el resultado de la temperatura corporal es visible para el resto de
personas que puedan encontrarse en la zona en el mismo momento en que una
persona se toma la temperatura, ello supone que la misma es identificada o
identificable, por lo que, y en contra de lo que afirma la reclamada, sí que estaríamos
en el supuesto de la definición de dato personal del artículo 4 del RGPD, apartados 1 y
2, según el cual, se entenderá por «datos personales»: “toda información sobre una
persona física identificada o identificable”; y por «tratamiento»: “cualquier operación o
conjunto de operaciones realizadas sobre datos personales o conjuntos de datos
personales, ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”

Por tanto, la temperatura corporal es un dato personal, concretamente un dato de
salud y, de conformidad con las circunstancias en las que se toma la temperatura en
las dependencias de la reclamada (de forma visible para el resto de personas que se
encuentren en la zona donde se realiza la medición), es una información que se
recaba respecto de una persona física identificada identificable.

Por último, señala SALUS BALEARES, respecto del agravante del artículo 76.2.b) de
la LOPDGDD, referido a la vinculación de la actividad del infractor con la realización de
tratamientos de datos personales, que se ha tenido en cuenta la actividad de todo el
grupo y no la actividad concreta de la clínica Asistel Moraira, donde supuestamente se
ha producido las infracciones en materia de protección de datos. Sin embargo, señala
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/36

SALUS BALEARES que el número de pacientes de la clínica Asistel Moraira en todo
2022, año en el que se produjo la reclamación, fue de 2.375 personas.

A este respecto se significa que la agravante se refiere a que el desarrollo de la
actividad que desempeña la reclamada supone un tratamiento continuo de datos
personales (no sólo respecto de la toma de temperatura, sino respecto del servicio
asistencial que presta, de las historias clínicas, etc), los cuales además son de salud,
es decir, que no es un tratamiento residual o esporádico, lo cual exige una mayor
diligencia por parte de la reclamada, y ello con independencia del concreto número de
pacientes que recibió en un año una de sus clínicas en cuestión.

III. Defectos de forma en el Acuerdo de Inicio que lo hacen nulo

Alega SALUS BALEARES que se ha incumplido el principio non bis in ídem, que
prohíbe que un mismo hecho pueda ser sancionado varias veces.

Frente a ello, procede explicar la diferencia entre la vulneración del art. 5.1.f y el
artículo 32 del RGPD.

El art. 5.1.f) del RGPD se vulnera cuando se produce una pérdida de confidencialidad,
de integridad o de disponibilidad de los datos personales, lo que puede producirse o
no por ausencia o deficiencia de las medidas de seguridad.

Este principio tan sólo determina el cauce a través del cual puede lograrse el
mantenimiento de la confidencialidad, integridad o disponibilidad cuando explicita
“mediante la aplicación de medidas técnicas y organizativas apropiadas”, que no son
estrictamente de seguridad.

Las medidas técnicas y organizativas apropiadas a las que hace mención el art. 5.1.f)
RGPD no son las medidas de seguridad del art. 32 del RGPD. Esto sería simplificar la
esencia del RGPD cuyo cumplimiento no se limita a la implantación de medidas
técnicas y organizativas de seguridad; significaría reducir la garantía exigida mediante
el principio de integridad y confidencialidad a su logro únicamente con medidas de
seguridad.

Debe señalarse que hay múltiples medidas técnicas u organizativas que no son de
seguridad y que puede implementar el responsable del tratamiento como cauce para
garantizar este principio.

Sin embargo, el art. 32 del RGPD comprende la obligación de implementar medidas
técnicas y organizativas de seguridad apropiadas para garantizar un nivel de
seguridad adecuado al riesgo. De seguridad. Sólo de seguridad.

Además, su objetivo es garantizar un nivel de seguridad adecuado al riesgo mientras
que en el caso del artículo 5.1.f) del RGPD se debe garantizar la confidencialidad e
integridad. Como se puede observar los dos artículos persiguen fines distintos, aunque
puedan estar relacionados.

Entrando ya de lleno en el examen del non bis in ídem, la Sentencia de la Audiencia
Nacional de 23 de julio de 2021 (rec. 1/2017) dispone que,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/36

“(…) Conforme a la legislación y jurisprudencia expuesta, el principio non bis in ídem
impide sancionar dos veces al mismo sujeto por el mismo hecho con apoyo en el
mismo fundamento, entendido este último, como mismo interés jurídico protegido por
las normas sancionadoras en cuestión. En efecto, cuando exista la triple identidad de
sujeto, hecho y fundamento, la suma de sanciones crea una sanción ajena al juicio de
proporcionalidad realizado por el legislador y materializa la imposición de una sanción
no prevista legalmente que también viola el principio de proporcionalidad.

Pero para que pueda hablarse de "bis in ídem" debe concurrir una triple identidad
entre los términos comparados: objetiva (mismos hechos), subjetiva (contra los
mismos sujetos) y causal (por el mismo fundamento o razón de castigar):

a) La identidad subjetiva supone que el sujeto afectado debe ser el mismo, cualquiera
que sea la naturaleza o autoridad judicial o administrativa que enjuicie y con
independencia de quién sea el acusador u órgano concreto que haya resuelto, o que
se enjuicie en solitario o en concurrencia con otros afectados.

b) La identidad fáctica supone que los hechos enjuiciados sean los mismos, y descarta
los supuestos de concurso real de infracciones en que no se está ante un mismo
hecho antijurídico sino ante varios.

c) La identidad de fundamento o causal, implica que las medidas sancionadoras no
pueden concurrir si responden a una misma naturaleza, es decir, si participan de una
misma fundamentación teleológica, lo que ocurre entre las penales y las
administrativas sancionadoras, pero no entre las punitivas y las meramente
coercitivas.”

Tomando como referencia lo anteriormente explicitado, no se ha vulnerado el principio
non bis in ídem, puesto que la infracción del art. 5.1.f) del RGPD se concreta en una
clara pérdida de confidencialidad, mientras que la infracción del art. 32 del RGPD se
reduce a la ausencia y deficiencia de las medidas de seguridad (solo de seguridad)
adecuadas.

Dicho todo lo cual, no se considera que existe vulneración del principio de non bis in
ídem, consagrado en el artículo 25 de la Constitución Española.

Por último, alega SALUS BALEARES que en el Acuerdo de Inicio se indica una
sanción de 10.000 euros por una infracción del artículo 32 del RGPD, pero que, sin
embargo, no se ha procedido por esta Agencia a iniciar ningún procedimiento
sancionador en el presente expediente contra ella motivado en la infracción del artículo
32 del RGPD, por lo que solicita la nulidad del procedimiento.

A este respecto, procede señalar que, en Acuerdo de Inicio del presente procedimiento
sancionador, en los Fundamentos de Derecho VII, VIII y IX del mismo se indica con
claridad los hechos, la infracción que los mismos suponen (infracción del artículo 32),
la tipificación de la infracción (artículo 83.4 del RGPD) así como la sanción que pudiera
recaer por ello. Asimismo, en la parte dispositiva del mismo se indica claramente que
se inicia procedimiento sancionador a SALUS BALEARES por vulneración del artículo

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/36

32 del RGPD, tipificada en el artículo 83.4 del RGPD y que la sanción podría suponer
una multa de 10.000 euros.

Por lo expuesto, el Acuerdo de Inicio no adolece de ninguna causa de nulidad ni de
anulabilidad.

En conclusión, se desestiman todas las alegaciones formuladas

V
Alegaciones a la Propuesta de Resolución

En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar
lo siguiente:

Primera: La AEPD no ha probado hecho alguno que suponga la comisión de una
infracción por parte de SALUS BALEARES y la imposición de las sanciones
propuestas

Alega de nuevo SALUS BALEARES que la propuesta de sanción se basa en una
prueba insuficiente para desvirtuar la presunción de inocencia por cuanto en el
expediente administrativo únicamente consta una fotografía realizada por el
denunciante y la AEPD no ha realizado actividad probatoria en la tramitación del
expediente, pues no se ha personado en el local para constatar la realidad que
presuntamente se indica en las fotografías.

A este respecto, tal y como ya se señaló en la Propuesta de Resolución, el reclamante
aportó, junto a su reclamación, tres fotografías que obran en el expediente:

-En la primera, aparece una persona (mujer) mirando a la pared y colocando la mano a
cierta altura.
-En la segunda foto, la misma persona se encuentra algo más alejada de la zona
anterior y entonces se visualiza un dispositivo electrónico de toma de temperatura en
la zona de la pared donde antes se encontraba dicha persona y se visualiza en
números digitales rojos un valor (36,1)

-En la tercera fotografía, la misma persona se encuentra algo más alejada, en la zona
de recepción y el dispositivo sigue indicando el anterior valor (36,1)

En todas las fotografías se ve la zona de recepción muy cerca (casi pegado) a la
derecha del dispositivo. En dos de ellas incluso se visualiza a otra persona (un
hombre) en la zona de recepción, el cual, con sólo retroceder un paso atrás le
permitiría visualizar la temperatura arrojada por el dispositivo

En dichas fotografías, tal y como se ha señalado en el Hecho Probado Primero, se
reflejan claramente los siguientes hechos:

-En la clínica se se utiliza un dispositivo electrónico que mide la temperatura de forma
automática siendo para ello necesario que los usuarios se coloquen cerca y enfrente
del mismo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/36

- El dispositivo se encontraba situado en una pared en una zona donde se encuentra
la sala de espera y la recepción de la clínica
- El resultado de la temperatura corporal se quedaba reflejado en la pantalla del
dispositivo durante varios segundos lo que, al apartarse la persona del mismo,
permitía que fuera visible para terceras personas que allí se encontrasen.

Por otro lado, SALUS BALEARES, en ningún momento ha negado la veracidad de las
fotografías. Es más, en su escrito de respuesta al traslado de la reclamación y solicitud
de información, presentado con fecha 28 de marzo de 2022 13, indicó lo siguiente:

“El sistema de medición utilizado se trata de un termómetro laser ubicado a la entrada
de la clínica, en la que el usuario individualmente se toma la temperatura y el personal
de admisión de la clínica médica observa dicha medición, sin llevar a cabo ningún tipo
de registro de temperatura o datos identificativos de dicho usuario. Es decir, se utilizan
termómetros laser, para las mediciones de temperatura sin que este proceso vaya
acompañado del registro de la temperatura obtenida de los usuarios de la clínica”.

Asimismo, la propia reclamada ha utilizado una de las fotos aportadas por el
reclamante para hacer valer la existencia de la planta ornamental como medida de
protección frente a la visualización del termómetro, describiendo la situación del éste y
la toma de la temperatura corporal de los usuarios conforme a dicha foto.

Por lo expuesto, tanto de las fotos como de las declaraciones de SALUS BALEARES,
ha quedado perfectamente acreditado las circunstancias de cómo se realiza la toma
de temperatura de las personas que acceden a la clínica, no siendo necesario, por
tanto, en modo alguno que esta Agencia se persone en el local de la reclamada para
constatar lo que se considera plenamente probado y acreditado y además, no
contradicho por la reclamada.

Segundo: SALUS BALEARES no ha tratado datos del denunciante

De nuevo aduce SALUS BALEARES que no existió un tratamiento de datos
personales del reclamante, por cuanto el mismo no se sometió a la toma de
temperatura.

A este respecto, tal y como ya se indicó en la Propuesta de Resolución, el tratamiento
de datos personales que se entiende que incumple la normativa de protección de
datos no se refiere al tratamiento realizado o no realizado respecto del reclamante en
concreto, pues el mismo, efectivamente, no accedió a que se le tomara la temperatura,
sino de la forma en que la clínica toma la temperatura a todas las personas que
acceden a la misma. Es decir, del tratamiento que lleva a cabo respecto de la toma de
temperatura a todas las personas que acceden a la clínica.

Asimismo, refiere SALUS BALEARES varias cuestiones tales como que no se
registran los datos de la toma de temperatura; que existen elementos ornamentales
(una planta) para evitar que desde el lateral derecho se pudiera visualizar el resultado
de la medición; que la distancia obligatoria que había que mantener entre personas no
permitía la visualización del dato; que la pantalla del dispositivo de medición quedaba
tapada por el cuerpo de la propia persona que se acercaba a tomarse la temperatura;
que todas las personas debían acceder a las instalaciones con mascarilla.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/36

Frente a ello, procede remitirse a todo lo respondido y argumentado en la Propuesta
de Resolución. Así, se indicó, en primer lugar, que en las fotografías aportadas por el
reclamante se evidencia claramente que desde la posición en que él está (zona de
sala de espera) se visualiza claramente el dispositivo de medición y el resultado que
arroja, pues el elemento ornamental queda al otro lado y no interrumpe la visibilidad en
modo alguno,

Asimismo, en cuanto a que al realizarse la medición acercando la mano, a escasos
centímetros del dispositivo, el cuerpo de la persona obstruye visualmente el resultado,
por lo que es prácticamente imposible que la medición de la temperatura sea visible
por nadie más que por ella, se significa, en contra de ello, que de las fotos aportadas
se evidencia que el resultado que arroja el dispositivo (la temperatura corporal) se
mantiene en la pantalla del mismo durante varios segundos, puesto que en las fotos se
aprecia que la persona (una mujer) que se toma la temperatura, se la ve después en
otra foto alejada del dispositivo y, sin embargo, la temperatura arrojada sigue
visualizándose en éste.

Cuarta: El eventual tratamiento de datos fue seguro. En todo momento se respetaron
las indicaciones de la LOPDGDD y del RGPD

En este apartado, SALUS BALEARES fundamentalmente niega que en ningún
momento los pacientes podían ver la temperatura de otro paciente.

Frente a ello, procede remitirse a lo señalado en el apartado anterior de este
Fundamento de Derecho.

Cuarta: Del dato aislado de la temperatura no podía conocerse la identidad de la
persona

Alega de nuevo la reclamada que, si bien el dato de la temperatura es un dato de
salud, en el momento de la toma de temperatura, los posibles usuarios de las
instalaciones no podían disponer de información necesaria que vinculara ese dato con
otros que hicieran identificable a la persona que procede a tomarse la temperatura, por
lo que no es un dato relativo a una persona física identificada o identificable.

Frente a ello, tal y como ya se le indicó en la Propuesta de Resolución, se ha
evidenciado, a través de las fotografías aportadas por el reclamante, que la
temperatura corporal que detecta el dispositivo es perfectamente visible para otras
personas que se encuentren en la sala de espera y en zonas cercanas a la recepción,
lo que permite vincular el dato personal (la temperatura) con una persona identificada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/36

o identificable, ya que en el mismo momento en que una persona se toma la
temperatura, el resultado es visible por el resto de personas que se encuentren en ese
momento en la sala de espera o en la zona de recepción de la clínica.

Por tanto, sí que estaríamos aquí ante un dato personal referido a una persona
identificada o identificable, por cuanto el dato de la temperatura corporal se visualiza
por terceras personas justo cuando la persona directamente se está tomando la
temperatura en ese mismo momento. Es decir, terceros no autorizados están viendo
directamente tanto la temperatura concreta como a la persona a la cual pertenece esa
temperatura. Y eso la hace perfectamente identificada o identificable.

Lo que parece confundir la reclamada es que una persona sea identificable con poder
obtener sus datos identificativos (nombre y apellidos), lo cual no es así.

A este respecto, en el Dictamen 4/2007 sobre el concepto de datos personales del
Grupo de Trabajo del Artículo 27 (136WP) se indica que:

De modo general, se puede considerar «identificada» a una persona física cuando,
dentro de un grupo de personas, se la «distingue» de todos los demás miembros del
grupo. Por consiguiente, la persona física es «identificable» cuando, aunque no se la
haya identificado todavía, sea posible hacerlo (que es el significado del sufijo «ble»).
Así pues, esta segunda alternativa es, en la práctica, la condición suficiente para
considerar que la información entra en el ámbito de aplicación del tercer componente.
(pg. 12)

Este tratamiento de toma de temperatura de esta manera en que se ha realizado
supone una injerencia particularmente intensa en los derechos de las personas
afectadas. Por una parte, porque afecta a datos relativos a la salud de las personas,
no sólo porque el valor de la temperatura corporal es un dato de salud en sí mismo
sino también porque, a partir de él, se asume que una persona padece o no una
concreta enfermedad, como es en estos casos la infección por coronavirus.

Quinta: No se ha tenido en cuenta el contexto de crisis sanitaria

Aduce la reclamada que el momento y las circunstancias en las que se han producido
eran tan excepcionales como una pandemia a nivel mundial. Sin embargo, ello no ha
sido tenido en cuenta por la AEPD.

En este sentido, procede señalar que tanto en el Acuerdo de Inicio, como en la
Propuesta de Resolución, así como en la presente Resolución, en su Fundamento de
Derecho II, se ha tenido en cuenta la situación de la pandemia producida por el COVID
19, precisamente para el hecho de justificar la licitud del tratamiento de la temperatura
corporal al amparo de las circunstancias previstas en el artículo 9.2.h) del RGPD y,
como base jurídica que legitima el tratamiento, por cuanto el mismo es necesario para
el cumplimiento de una obligación legal impuesta (artículo 6.1.c) del RGPD.

Sin embargo, una vez se está legitimado para el tratamiento de los datos en cuestión,
ello no es óbice en absoluto para el cumplimiento del resto de obligaciones que
impone el RGPD, como la de garantizar la confidencialidad de los datos personales

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/36

(artículo 5.1.f) y la de adoptar las medidas técnicas y organizativas apropiadas para
garantizar un nivel de seguridad adecuado al riesgo del tratamiento (artículo 32).

Por lo expuesto, se desestiman las alegaciones.

VI
Artículo 5.1. f) del RGPD

El artículo 5.1.f) “Principios relativos al tratamiento” del RGPD establece:

“1. Los datos personales serán:
(…)

f) tratados de tal manera que se garantice una seguridad adecuada de los
datos personales, incluida la protección contra el tratamiento no autorizado o
ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación
de medidas técnicas u organizativas apropiadas («integridad y
confidencialidad»).”

La toma de temperatura corporal supone una injerencia particularmente intensa en los
derechos de las personas afectadas. Por una parte, porque, tal y como se ha indicado
anteriormente, afecta a datos relativos a la salud de las personas, no sólo porque el
valor de la temperatura corporal es un dato de salud en sí mismo sino también porque,
a partir de él, se asume que una persona puede padecer o no una concreta
enfermedad, como es en estos casos la infección por coronavirus.

Por ello, el hecho de que, conforme a la normativa aplicable en cada caso (normativa
sanitaria o la relativa a la prevención de riesgos laborales) se pueda y/o se deba
legalmente controlar la temperatura corporal de los empleados y de los usuarios de un
establecimiento no significa que no deban tratarse estos datos con aplicación de los
principios y garantías que protegen el derecho fundamental a la protección de datos.

Por tanto, los controles de temperatura deben llevarse a cabo de tal forma que se
cumplan todas las garantías y obligaciones que establece la normativa en materia de
protección de datos personales.

En el presente caso, la temperatura corporal de los usuarios que acceden a la clínica
se toma de tal manera que es susceptible de ser visualizada por cualquier persona
que se encuentre en la sala de espera y en la zona de recepción, lo cual supone que
se está desvelando a terceros que no tienen ninguna justificación para conocerlo que
la persona afectada tiene una temperatura concreta. Todo ello supone una vulneración
de la obligación de garantizar la confidencialidad de los datos personales.

Por todo lo expuesto y de conformidad con las evidencias de las que se dispone, se
considera que los hechos conocidos son constitutivos de una infracción, imputable a
SALUS BALEARES, por vulneración del artículo 5.1.f) del RGPD.

VII
Tipificación de la infracción del artículo 5.1.f) del RGPD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/36

La citada infracción del artículo 5.1.f) del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5
y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias
a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”

VIII

Sanción por la infracción del artículo 5.1.f) del RGPD

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone, procede graduar la sanción a
imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del
RGPD:

Como agravantes:

- Artículo 83.2.a) RGPD: Naturaleza, gravedad y duración de la infracción.

Se considera que la naturaleza de la infracción es grave puesto que acarrea una
pérdida de confidencialidad y, por tanto, de disposición y control sobre los datos
personales.

Número de interesados afectados alto: todas las personas que hayan accedido a la
clínica durante todo el tiempo que haya estado controlándose la temperatura de la
forma y con las circunstancias reseñadas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/36

- Artículo 83.2.b) RGPD. Intencionalidad o negligencia en la infracción: Si bien se
considera que no hubo intencionalidad por parte de SALUS BALEARES, sí puede
observarse la existencia de negligencia en el cumplimiento y observancia de las
medidas técnicas y organizativas para garantizar la seguridad necesaria para la
protección de los datos personales, concretamente para garantizar la confidencialidad
de los mismos, puesto que se produjo una toma de temperatura de los usuarios que
acudían a la clínica de tal forma que era posible visualizar la misma por el resto de
personas que se encontraran en la sala de espera o en la zona de la recepción, lo que
refleja una negligencia, máxime si se tiene en cuenta que se trata de datos de salud. A
este respecto, debe recordarse que SALUS BALEARES es una clínica y, por tanto,
habituada al tratamiento de datos personales, concretamente a datos de salud.

Procede recordar, en este sentido, la Sentencia de la Audiencia Nacional de
17/10/2007 (rec. 63/2006), que respecto de entidades cuya actividad lleva aparejado el
continuo tratamiento de datos de clientes, indica “…el Tribunal Supremo viene
entendiendo que existe imprudencia siempre que se desatiende un deber legal de
cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la
valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o
no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad
de la recurrente es de constante y abundante manejo de datos de carácter personal ha
de insistirse en el rigor y el exquisito cuidado por ajustarse a las previsiones legales al
respecto.

-Artículo 83.2.g) RGPD. Categorías de datos personales afectados por la infracción:
Han sido afectados datos personales relativos a la salud.

Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas
correctivas” de la LOPDGDD:

Como agravantes:

- Artículo 76.2.b) LOPDGDD. Vinculación de la actividad del infractor con la realización
de tratamientos de datos de carácter personal: El desarrollo de la actividad
empresarial que desempeña SALUS BALEARES supone un tratamiento continuo de
datos personales, muchos de ellos de salud. Por tanto, se trata de una empresa
habituada al tratamiento de datos personales.

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone, teniendo en cuenta las
circunstancias del caso y los criterios que establece el artículo 83.2 del RGPD con
respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.f) del
RGPD, permite fijar una sanción de 20.000 € (VEINTE MIL EUROS).

IX
Artículo 32 del RGPD

El Artículo 32 “Seguridad del tratamiento” del RGPD establece:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/36

“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:

a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”. (el subrayado es nuestro)

El artículo 32 no establece medidas de seguridad estáticas, sino que corresponderá al
responsable determinar aquellas medidas de seguridad que son necesarias para
garantizar la confidencialidad, la integridad y la disponibilidad de los datos personales,
por lo tanto, un mismo tratamiento de datos puede implicar medidas de seguridad
distintas en función de las especificidades concretas en las que tiene lugar dicho
tratamiento de datos.

El Considerando 83 del RGPD establece: A fin de mantener la seguridad y evitar que
el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el
encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para
mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad
adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el
coste de su aplicación con respecto a los riesgos y la naturaleza de los datos
personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de
los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los
datos personales, como la destrucción, pérdida o alteración accidental o ilícita de
datos personales transmitidos, conservados o tratados de otra forma, o la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/36

comunicación o acceso no autorizados a dichos datos, susceptibles en particular de
ocasionar daños y perjuicios físicos, materiales o inmateriales. (el subrayado es
nuestro)

La seguridad de los datos requiere la aplicación de medidas técnicas u organizativas
apropiadas en el tratamiento de los datos personales para proteger dichos datos
contra el acceso, uso, modificación, difusión, pérdida, destrucción o daño accidental,
no autorizado o ilícito. En este sentido, las medidas de seguridad son claves a la hora
de garantizar el derecho fundamental a la protección de datos. No es posible la
existencia del derecho fundamental a la protección de datos si no es posible garantizar
la confidencialidad, la integridad y la disponibilidad de estos.

No debe olvidarse que, de conformidad con el artículo 32.1 del RGPD, las medidas
técnicas y organizativas a aplicar para garantizar un nivel de seguridad adecuado al
riesgo deben tener en cuenta el estado de la técnica, los costes de aplicación, la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas.

En este sentido, derivado de la actividad a la que se dedica SALUS BALEARES y de
los datos personales que trata, está obligada realizar un análisis de los riesgos y una
implantación de medidas técnicas y organizativas apropiadas para garantizar un nivel
de seguridad adecuado al riesgo de su actividad para los derechos y libertades de las
personas, teniendo en cuenta especialmente que su actividad conlleva tratar datos de
salud.

En el presente caso, consta el tratamiento de datos de salud (toma de temperatura) de
tal forma y utilizando medios que no resultan apropiados para garantizar una
seguridad adecuada de los datos personales, concretamente, para garantizar la
confidencialidad de los mismos, pues el dato de la temperatura corporal es susceptible
de ser visualizado por terceras personas no autorizadas.

Ello pone de manifiesto una actuación negligente a la hora de prever un riesgo
fácilmente detectable y evaluable (temperatura a la vista y en una zona de acceso
público) y de no implementar medidas para evitarlo o mitigarlo.

De conformidad con las evidencias de las que se dispone, se considera que los
hechos conocidos son constitutivos de una infracción, imputable a SALUS
BALEARES, por vulneración del artículo 32 del RGPD.

X
Tipificación de la infracción del artículo 32 del RGPD

La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/36

volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:

“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
f) La falta de adopción de aquellas medidas técnicas y organizativas que
resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo
del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento
(UE) 2016/679.

XI
Sanción por la infracción del artículo 32 del RGPD

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone procede graduar la sanción a
imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del
RGPD:

Como agravantes:

- Artículo 83.2.a) RGPD: Naturaleza, gravedad y duración de la infracción.

Se considera que la naturaleza de la infracción es grave puesto que acarrea una
pérdida de confidencialidad y, por tanto, de disposición y control sobre los datos
personales.

- Artículo 83.2.b) RGPD. Intencionalidad o negligencia en la infracción: Si bien se
considera que no hubo intencionalidad por parte de SALUS BALEARES, sí puede
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/36

observarse la existencia de negligencia en el cumplimiento y observancia de las
medidas técnicas y organizativas para garantizar la seguridad necesaria para la
protección de los datos personales, concretamente para garantizar la confidencialidad
de los mismos, puesto que se produjo una toma de temperatura de los usuarios que
acudían a la clínica de tal forma que era posible visualizar la misma por el resto de
personas que se encontraran en la sala de espera o en la zona de la recepción, lo que
refleja una negligencia, máxime si se tiene en cuenta que se trata de datos de salud.

-Artículo 83.2.g) RGPD. Categorías de datos personales afectados por la infracción:
Han sido afectados datos personales relativos a la salud.

Como agravantes:

- Artículo 76.2.b) LOPDGDD. Vinculación de la actividad del infractor con la realización
de tratamientos de datos de carácter personal: El desarrollo de la actividad
empresarial que desempeña SALUS BALEARES (clínica) supone un tratamiento
continuo de datos personales, muchos de ellos de salud. Por tanto, se trata de una
empresa habituada al tratamiento de datos personales.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD con
respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD,
permite fijar una sanción de 10.000 (diez mil euros).

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a CENTRO MÉDICO SALUS BALEARES, S.L., con NIF
B07060478, por una infracción del artículo 5.1.f) del RGPD, tipificada en el artículo
83.5 del RGPD, una multa de 20.000,00 euros (VEINTE MIL EUROS), y, por una
infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, una multa
de 10.000,00 euros (DIEZ MIL EUROS), lo cual suma una cuantía total de 30.000 €
(TREINTA MIL EUROS).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/36

TERCERO: NOTIFICAR la presente resolución a CENTRO MÉDICO SALUS
BALEARES, S.L.

CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A. En caso
contrario, se procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/36

contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

Sıcaklık Ölçümünde Gizlilik ve Veri Güvenliği

Türkçe özet

Hukuki mesele

Sonuç

Karar metni