El 10 de junio de 2022 la AEPD daba a conocer la resolución por la que sanciona a la Secretaría de Estado de Digitalización e Inteligencia Artificial (SEDIA), tras haber encontrado múltiples incumplimientos de la normativa de protección de datos en el desarrollo de la app Radar COVID. La sanción impuesta a la SEDIA carece de contenido económico, limitándose a un apercibimiento, pues así lo establece el artículo 71.2 de la LOPDGDD.
La investigación, iniciada a instancia de 2 ONGs y un particular en septiembre de 2020, ha concluido que la app RADAR COVID vulneraba los artículos 5.1.a), 5.2, 12, 13, 25, 28.3 y 28.10 y 35 del RGPD, por los siguientes motivos:
• No informar adecuadamente a los interesados del tratamiento que se iba a realizar, la identidad del responsable de protección de datos, los datos del delegado de protección de datos.
• Vulnerar el principio de responsabilidad proactiva.
• Modificar en repetidas ocasiones las condiciones de privacidad sin informar a los interesados de los cambios ejecutados.
• No haber realizado una evaluación de impacto del tratamiento con anterioridad a la puesta en marcha de la aplicación y a la recopilación de datos de los interesados.
• No haber recabado el asesoramiento del delegado de protección de datos en la determinación de los tratamientos.
• No haber observado el principio de privacidad desde el diseño y por defecto por carecer de apoyo de DPD y de EIPD en el momento de la determinación de los tratamientos.
• No haber publicado el código fuente de la aplicación tal y como se requiere por parte de la EDPB.
• No anonimizar correctamente los datos personales permitiendo vincular la dirección IP del dispositivo a los datos de carácter sensible del usuario.
• No haber corregido los fallos de diseño y seguridad de la aplicación al momento de conocerlos, esperando 3 meses para comenzar con los cambios, agravando el riesgo soportado por los interesados.
En sus alegaciones, la SEIDA argumentaba que, viviendo un estado de alarma sanitaria, se debían entender los derechos de protección de datos de los interesados a la luz del estado de necesidad de desarrollar la medida de control de la enfermedad, al amparo del artículo 3 del código civil. Este argumento ha sido refutado y desechado por la AEPD, que manifiesta lo siguiente: “En este sentido, el derecho fundamental a la protección de datos no se suspende por la mera declaración de un estado de alarma, sino que esta suspensión queda limitada a los supuestos de declaración del estado de excepción o de sitio, según establece el artículo 55.1 de la CE. En el estado de alarma sólo puede condicionarse el ejercicio de los derechos, pero no suspenderlos. En este supuesto concreto, se declaró el estado de alarma, lo que no supuso, en ningún caso la suspensión de los derechos fundamentales”.
