Samuel Parra

Un balneario de Madrid requiere a sus clientes responder múltiples preguntas sobre su salud antes de poder acceder a las piscinas; entre estas preguntas, de respuesta obligatoria, nos encontramos con preguntas sobre si se tiene SIDA, hepatitis, enfermedades oncológicas, estar tomando algún medicamento (cuál), y en general si se tiene alguna enfermedad. Planteado ante la Agencia Española de Protección de Datos si un establecimiento privado como un balneario puede exigir responder a estas preguntas para acceder a él, esto es lo que ha respondido.

Antes de entrar en el fondo de la cuestión conviene hacer un breve inciso normativo. La Ley Orgánica de Protección de Datos, como su propio nombre indica, tiene como pretendida finalidad la de proteger nuestros datos de carácter personal; esta protección se consigue en base a varios principios que emanan de esta propia Ley Orgánica. Entre estos principios existe el denominado principio de calidad de datos, que viene contemplado en el artículo 4 de esta norma.

Este principio de calidad de datos tiene diversas vertientes, la que nos interesa aquí es la que expresa el artículo 4.1 que dice así:

«Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.»

Esto es lo que se conoce como principio de proporcionalidad; y parece razonable entender que solo podrán tratar nuestros datos personales si éstos son adecuados y no excesivos para la finalidad que se persiga, en otras palabras, que sean idóneos. Como principio que es, será necesario acudir a cada caso concreto para determinar si una recogida de datos es idónea o no.

Un ejemplo de lo que hablo lo podemos encontrar en el vídeo que la Agencia Vasca de Protección de Datos realizó en el año 2010, donde se dramatizan estos principios relativos a la protección de datos.
A partir del minuto 2:22 vemos la escena en la que el protagonista pretende hacer check in en el hotel donde se va a alojar; la recepcionista comienza a hacerle varias preguntas habituales; hasta ahí todo bien, pero de pronto la chica le pregunta que si puede facilitarle su número de píe… tras un momento de asombro, le responde; la chica sigue rellenando el formulario y termina por preguntarle la orientación sexual, y bueno, lo mejor es verlo.

Esta es una escenificación, exagerada lógicamente, de lo que pretende proteger ese principio de proporcionalidad ¿hace falta conocer el número de píe para hacer check in en un hotel? ¿Y la orientación sexual?

Volvamos a la historia real del balneario. Acompañados con unos amigos fui a un balneario de Madrid; a la hora de hacer el pago para acceder a la piscinas me asombró que todos tuviéramos que rellenar un formulario con nuestros datos personales (en otros balnearios en los que he estado no tienes ni que identificarte); el formulario en cuestión es este.

En primer lugar me asombró que no solo me pidieran mi nombre y apellidos, sino también mi domicilio, teléfono, email, fecha de nacimiento, y DNI. Todos los datos a completar obligatoriamente.

Pero lo que me dejó fuera de servicio fueron las preguntas en el reverso del folio, todas ellas encabezadas con el título «Cuestionario de Salud».

Como se puede leer, preguntan, entre otras cosas, si se tiene Hepatitis, SIDA o alguna enfermedad transmisible; enfermedad respiratoria como asma, neumonía; si se tiene alguna alergia o se es alérgico a algún medicamento. Si se padece alguna enfermedad en la piel, como hongos, dermatitis; enfermedades oncológicas, crónicas, etc, etc. Todo esto, recordemos, para acceder a las piscinas del balneario.

Llegados a este punto le indiqué a la recepcionista si era necesario responder a todas las preguntas para entrar a las piscinas, su respuesta lógicamente fue que sí. Intenté dialogar con ella para hacerle ver que para meterme en una piscina parecía ser un cuestionario un tanto excesivo, que ese cuestionario era el mismo que para el resto de actividades que se podían realizar en el balneario (en la primera hoja se puede marcar a qué vas al balneario), pero eran las normas del local.

Entonces me fijé en la cláusula sobre protección de datos para ver cuál es la finalidad del tratamiento de esos datos; en la cláusula como se puede apreciar pone que la finalidad es «gestión fiscal, administrativa, comercial y contable«. Además me advierten que mis datos podrán ser cedidos a las empresas del grupo EL BOSQUE. ¿Qué empresas son esas? (luego las veremos).

En vista del percal, me negué a pasar por el aro. Me negué a seguirle el juego a una empresa que sabía que estaba realizando un tratamiento excesivo de datos personales para una finalidad indebida y con unos posibles destinatarios desconocidos en ese momento para mí.

Ya en casa decidí cuestionar a la Agencia Española de Protección de Datos (AEPD) sobre lo sucedido para que se pronunciara sobre si efectivamente pueden exigir responder este tipo de preguntas para acceder a un balneario o en caso de no responder denegar el acceso. Es importante destacar el hecho de que el formulario es el mismo para todos, vayas a lo que vayas allí. De hecho era obligatorio que respondiera a la pregunta de si estoy embarazado…

La respuesta no se hizo esperar; en la Resolución E/03232/2013 se resuelve, en un par de páginas, el asunto, en base a lo siguiente:

a) Que en la Ley 6/1994, de 24 de noviembre, de balnearios y de aguas minero-medicinales y/o termales, se adjudica la condición de «centro sanitario» a los balnearios.
b) Que no se identifican qué datos de los solicitados considero excesivos y que no aporto informe de facultativo competente que acredite el carácter de excesivo de esos datos solicitados.
c) Que la AEPD no es competente para evaluar la negativa del centro a prestar el servicio si no se aportan esos datos.
d) Que el formulario respeta lo estipulado en el artículo 5 de la LOPD en lo relativo a la finalidad de la recogida de datos.

Dado que no estaba conforme con la interpretación y con el fin de aclarar algunos aspectos, presenté recurso de reposición, en base a los siguientes motivos:

a) Que la Ley 6/1994, de 24 de noviembre, de balnearios y de aguas minero-medicinales y/o termales ha sido indebidamente aplicada, toda vez que el artículo 1 de esta Ley delimita su ámbito de aplicación territorial a los balnearios de la Comunidad Autónoma de Extremadura, y este es un balneario en Madrid.

Frente a esto, la AEPD respondió invocando la definición de la RAE de la palabra «balneario» y el concepto de «termalismo», todo ello para atribuir la condición de centro sanitario al balneario, amparándose en lo dispuesto en el Real Decreto 1277/2003 de 10 de octubre.

b) Que en el escrito que presenté sí que identifico los datos que considero excesivos (todos los de salud y algunos identificativos, como el DNI, teléfono, domicilio, etc). Que no se me puede exigir aportar documento de facultativo que apoye mi teoría toda vez que lo que pretendo es que precisamente la AEPD se pronuncie sobre la cuestión, en la inteligencia de que es ella la que tiene esa competencia y conocimientos adecuados sobre la materia.

Frente a esto, la AEPD vuelve a repetir que no aporto elemento documental o informe de facultativo competente que acredite el carácter excesivo de los datos y que aquellos que entiendan que el contenido de los cuestionarios tiene un carácter excesivo para la prestación para la que se recogen los datos, son los que cuentan con la carga de acreditar dicho carácter excesivo.

Añade por último que dado que nos encontramos ante un servicio de balneario y que dada sus características puede tener efectos para la salud de los clientes, a juicio de esta Agencia nos encontramos ante una solicitud de datos que no consta que sea inadecuada.

c) Que no se pronuncian sobre la cesión de los datos a las empresas del grupo.

Frente a esto la AEPD indica que no se acredita por mi parte que se haya producido dicha cesión.

Y ello a pesar de que se le facilitó a la AEPD el listado de las empresas que forman parte del grupo, a saber:

• EL BOSQUE MADRID SIERRA SL
  Objeto Social: LA REALIZACION DE ESTUDIOS POR CUENTA PROPIA O AJENA Y ASESORAMIENTO TECNICO A EMPRESAS, SOBRE TODA CLASE DE OPERACIONES MERCANTILES
• EL BOSQUE ADVANCE SA
  Objeto Social: REALIZACION DE ESTUDIOS POR CUENTA PROPIA O AJENA Y ASESORAMIENTO TECNICO A EMPRESAS, SOBRE TODA CLASE DE OPERACIONES MERCANTILES E INDUSTRIALES. ADQUISICION, ARRENDAMIENTO, EXPLOTACION Y VENTA DE TERRENOS, EDIFICIOS.
  CNAE 2009: 6810 Compraventa de bienes inmobiliarios por cuenta propia
• EL BOSQUE DEVELOPMENT SL.
  Objeto Social: LA REALIZACION DE ESTUDIOS POR CUENTA PROPIA O AJENA Y ASESORAMIENTO TECNICO A EMPRESAS, SOBRE TODA CLASE DE OPERACIONES MERCANTILES E INDUSTRIALES,
  CNAE 2009: 5510 Hoteles y alojamientos similares
• EL BOSQUE INTEGRA SL
  Objeto Social: LA PROMOCION DE SERVICIOS DE BIENESTAR, ASISTENCIALES Y DE CRECIMIENTO PERSONAL
  CNAE: 702 Actividades de consultoría de gestión empresarial
• EL BOSQUE PONTECALDELAS, SL
  Objeto Social: LOS SERVICIOS DE HOSTELERIA Y RESTAURACION. LOS SERVICIOS DE BALNEARIO. LA EXPLOTACION TURISTICA DE PUBS, CAFETERIAS Y BARES.
  CNAE 2009: 5610 Restaurantes y puestos de comidas

Por todo lo anterior, se desestima igualmente el recurso de reposición.

Aquí la resolución desestimatoria.
Y aquí el recurso de reposición desestimado.