Buscador de resoluciones, dictámenes e informes

La persona denunciando consideraba que, por medio de la publicación de los resultados de las competiciones de ajedrez, organizadas por el FCE, se difundían y conservaban datos de salud de los participantes toda vez que, para participar en la competición, había que exhibir el Pasaporte Covid-19. Al respeto, la información relativa a si una persona está vacunada o ha sufrido una enfermedad, constituye datos de salud en conformidad con el artículo 4 RGPD. Aun así, en este caso, el FCE ha argumentado de manera suficiente que, por un lado, para cumplir con la legalidad vigente, tenía que exigir la exhibición del Pasaporte Covid-19 a los participantes en las competiciones y, por otro lado, que había personas que mostraban una maceta de antígenos, PCR o documento de exención de vacunación. En estas circunstancias, no se puede afirmar que la publicación de las referidas actas, permitieran a terceras personas relacionar las personas identificadas a las actas, con el hecho que se hubieran vacunado contra la Covid-19, toda vez que, había personas que podían no estar vacunadas, y haber presentado una PCR o una maceta de antígen, y otros que disponían de un documento de exención de vacunación. Por estos motivos, procede archivar los hechos denunciados.

La FCF ponía a disposición de los clubes deportivos de fútbol un formulario a través del cual, los clubes tenían que identificar los miembros con licencia federativa que eran positivos de Covid-19 y las personas federadas con quién habían estado contacto estrecho. Así mismo, también tenían que informar de la fecha de inicio de síntomas y de su estado vacunal. Al respeto, la FCF ha argumentado que la recogida de datos se llevó a cabo en cumplimiento del Plan de Acción para el Desconfinament Deportivo de la Generalitat de Cataluña, en el marco del cual, la FCF elaboró su Protocolo para minimizar los contagios por Covid-19. Así las cosas, hay que señalar que, la Resolución SLT/3652/2021, de 7 de diciembre, vigente en el momento de los hechos denunciados, se remitía al contenido del Plan de acción por el desconfinament deportivo en todo aquello que no la contradijera. En relación con el anterior, hay que recordar que, conocer qué personas eran positivas de Covid-19, la fecha de presentación de síntomas, y su estado vacunal, era información necesaria para la adopción de decisiones relacionadas con la organización de la competición deportiva. A la vista del expuesto, hay que concluir que el tratamiento denunciado restaba habilitado por el artículo 6.1 c) RGPD, concurriendo las excepciones previstas en el artículo 9.2 g) y y), en conexión con la normativa vigente en materia de salud pública y de prevención del contagio de la Covid-19.

La persona denunciando se quejaba por el hecho que el Parque Deportivo Municipal Guiera, gestionado por el Ayuntamiento de Cerdanyola del Vallès, condicionaba el acceso a las personas usuarias del centro deportivo, a la exhibición del Pasaporte Covid-19. En relación con esto, procede señalar que, la Resolución SLT/3787/2021, de 23 de diciembre, vigente en el momento de los hechos, preveía la exigencia de presentar el certificado de vacunación, prueba diagnóstica o de recuperación de la Covid-19 para acceder "a salas y gimnasios donde se practica actividad física y/o deportiva". En estos términos, procede señalar que el tratamiento denunciado restaba habilitado por el artículo 6.1 RGPD apartado c) dado que fue necesario para el cumplimiento de una obligación legal y que, concurrían las excepciones previstas en el artículo 9.2 g) RGPD, que dispone que el tratamiento de datos de salud tiene que ser necesario por razones de interés público esencial, y por la excepción del apartado y) del referido artículo, que prevé que el tratamiento tiene que ser necesario por razones de interés público en el ámbito de la salud pública. En último término, la persona denunciando se quejaba por el hecho que personal del PEM Guiera accediera a sus datos personales, sin obtener previamente su consentimiento. Aun así, consultado por esta Autoridad, la persona denunciando confirmó no haber exhibido el Pasaporte covid-19 al personal del PEM Guiera cuando se le requirió, y la entidad denunciada ha argumentado que, el personal del centro, actuaron en el ejercicio de sus funciones, por el que no se observa ningún incumplimiento de la legislación vigente.

Un centro privado comunicó el resultado de una maceta de antígenos al Departamento de Salud y este, facilitó la dicha información en el centro educativo donde la persona denunciando prestaba sus servicios. Al respeto, el artículo 23 de la Ley 2/2021, de 29 de marzo, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por la Covid-19 obliga a los establecimientos que realizan pruebas de diagnóstico Covid-19 a remitir, diariamente, a la autoridad sanitaria los resultados de las pruebas que realizan y, a su vez, el artículo 8.4 del Decreto Ley 41/2020, de medidas extraordinarias en el ámbito de la educación para hacer frente a las consecuencias de la Covid-19, determina que el Departamento de Salud tiene que comunicar a los directores o directoras de los centros educativos, los datos de salud correspondientes a los resultados de las pruebas diagnósticas. Así las cosas, procede el archivo de los hechos imputados dado que las referidas comunicaciones se llevaron a cabo amparadas por el artículo 6.1 del RGPD, en cumplimiento de una obligación legal (en el caso del laboratorio privado), y en el ejercicio de poderes públicos (en el caso del Departamento de Salud). Así mismo, procede señalar que, a pesar de se comunicaron datos de salud, concurrían las excepciones previstas en los apartados g) y y) del artículo 9.2 del RGPD, que permiten levantar la prohibición del artículo 9.1 RGPD.

La Agencia de Salud Pública de Cataluña comunicó a los Servicios de Prevención de Riesgos Laborales de la empresa càrnica donde presta servicios el aquí denunciando, la relación del personal que no disponía de la pauta completa de vacunación contra la Covid-19. Esta comunicación se llevó a cabo en el marco de una campaña de vacunación del Departamento de Salud. Al respeto, la referida comunicación no contraviene la normativa de protección de datos, en la medida en que, tanto la normativa de prevención de riesgos laborales, como la normativa de salud pública, facultan las autoridades sanitarias para establecer mecanismos de colaboración con los servicios de prevención de riesgos laborales de empresas privadas.

La unidad de Recursos Humanos de un Ayuntamiento acabó accediendo, a través de su Servicio de Prevención de Riesgos Laborales, a la información sobre si una trabajadora suya se había inoculado la 2.ª dosis de la covid19.

La exigencia del certificado COVID en los términos expuestos y que han sido autorizados por el Tribunal Superior de Justicia de Cataluña, no se puede considerar contraria a la normativa de protección de datos personales. Igualmente, cuando sea exigible este certificado, la exigencia de exhibición del anverso del DNI a los efectos de verificar la identidad resulta compatible y proporcionado de acuerdo con la normativa de protección de datos personales.

El Departamento de Salud encargó a SEMSA la contratación del servicio de seguimiento de los contactos estrechos con personas infectadas de covid-19, lo cual comportaba el tratamiento de datos personales. Y a tal efecto SEMSA contrató la empresa privada Ferroser Servicios Auxiliares, S. A., sin formalizar el encargo del tratamiento en un contrato tal como exige el arte. 28 RGPD, lo cual es constitutivo de infracción.

Con el fin de poder tratar los datos relativos al estado vacunal de la Covid19 de los usuarios del centro para la organización de las actividades terapéuticas grupales sobre la base de los artículos  6.1.c) y 9.2.i) del RGPD, haría falta que las autoridades competentes en materia de salud pública establezcan alguna decisión en este sentido, lo cual no consta a fecha de emisión de este dictamen.