Dictamen en relació amb la consulta d'un Hospital sobre l'accés a dades de
l'aplicació Stop Covid19 Cat del Departament de Salut mitjançant el programa
d'analítica de dades per la investigació i la innovació en salut (PADRIS) de l'Agència
de Qualitat i Avaluació Sanitària de Catalunya (AQuAS) en el marc d'un projecte de
Es presenta davant l'Autoritat Catalana de Protecció de Dades un escrit d'un Hospital (en
endavant, l'Hospital), en què es demana dictamen a aquesta Autoritat en relació amb
l'accés a dades de l'aplicació Stop Covid19 Cat, del Departament de Salut, mitjançant del
La consulta explica que, des del Comitè d'Ètica d'Investigació Clínica amb Medicaments
(CEIm) de l'Hospital s'avalua un projecte de recerca, en el context del COVID-19, que té
previst utilitzar les dades recollides pel Departament de Salut mitjançant l'aplicació Stop
Covid19 Cat, a través del programa PADRIS de l'Agència de Qualitat i Avaluació
Sanitàries de Catalunya (AQuAS).
En aquest context, la consulta planteja a aquesta Autoritat les qüestions següents:
"- Si l'accés per part de l'AQUAS a les dades procedents de l'app Stop Covid19 Cat
es troba legitimat en base al contracte d'encarregat de tractament amb el Departament
- Si és així, i es pot entendre com un accés legitimat en base a l'argument anterior,
poden ser utilitzades en el context del programa PADRIS amb finalitats de recerca."
Analitzada la petició, que no s'acompanya de més informació, vista la normativa vigent
aplicable, i l'informe de l'Assessoria Jurídica, es dictamina el següent.
La consulta explica que, segons consta en el protocol del projecte de recerca en qüestió,
mitjançant la convocatòria del Programa PADRIS "PROCEDIMENT DE PRIORITZACIÓ
accedir a les dades que l'AQUAS faciliti en el context d'aquest programa, les quals
Segons la consulta, dins el procés d'avaluació del projecte de recerca, es va consultar a
l'AQUAS sobre la base legitimadora de l'accés per part d'AQuAS a les dades de l'app
Stop Covid19 Cat, al que varen respondre, segons la consulta, que el tractament estaria
legitimat mitjançant el contracte d'encarregat de tractament existent entre el Departament
Segons la consulta, l'AQuAS hauria exposat que aquest contracte
preveu l'accés a les dades del SISCAT i permet els tractaments necessaris per posar-los
a disposició de la comunitat científica.
Situada la consulta en aquests termes, d'entrada, cal tenir en compte que el Reglament
(UE) 2016/679, del Parlament i del Consell Europeu, de 27 d'abril de 2016, General de
Protecció de Dades (en endavant, RGPD)), estableix que tot tractament de dades
personals ha de ser lícit, lleial i transparent (article 5.1.a)).
El tractament de dades de les persones físiques que siguin usuàries de l'aplicació es
troba sotmès als principis i garanties de la normativa de protecció de dades personals
(RGPD i Llei orgànica 3/2018, de 5 de desembre, de protecció de dades personals i
garantia dels drets digitals (LOPDGDD)).
Per situar la qüestió plantejada, cal remetre's a la informació disponible al web del
Departament de Salut [URL] ncov/stop-covid19-cat/), on es pot descarregar l'aplicació amb la finalitat de "fer el
seguiment i vigilància dels símptomes de coronavirus."
En l'apartat corresponent a les "condicions i política de privacitat", de la "Nota relativa a
la posada en servei de noves solucions per a la prevenció i el control de la infecció pel
SARS-CoV-2", s'explica que "COVID19xat gestiona informació dels usuaris en relació
amb l'afectació del COVID19 per determinar l'evolució de la malaltia i planificar les
actuacions i respostes per part del sistema de Salut."
Segons la informació disponible, el responsable de l'aplicació és el Departament de Salut
(tot i que com veurem a continuació, a la política de privacitat s'indica que és
corresponsable, sembla que cal entendre que és l'únic responsable perquè en aquesta
política de privacitat no s'hi indica cap altra entitat), i la finalitat prevista és: "Gestionar les
dades de salut, identificatives i de geolocalització, per determinar l'evolució de la
malaltia Covid19, per recerca i estadística."
En l'apartat corresponent a la "Política de privacitat", es concreta la informació següent:
"D'acord amb l'establert al Reglament (UE) 2016/679 de 27 d'abril relatiu a la protecció
de les persones físiques en relació al tractament de les seves dades personals (en
endavant el "Reglament") i en relació a les dades que els usuaris
- Els coresponsables del tractament de les seves dades són el Departament de Salut
(DS) amb C.I.F. S0811001G i domicili a Travessera de les Corts, 131-159 - Pavelló
Pot contactar amb el Delegat de Protecció de Dades a
- Les seves dades seran tractades amb les següents finalitats:
- gestionar les dades de salut, identificatives i de geolocalització, opcionalment, per
determinar l'evolució de la malaltia Covid19 a nivell individual i agregat, per dissenyar
i implementar mesures i estratègies de millora de la qualitat dels serveis i, en el seu
cas, l'activació dels sistemes d'emergència per a la prestació d'assistència
- la realització de recerca en relació amb el coronavirus;
- i la realització d'estadístiques d'evolució de la malaltia tant quantitativa com
- Les seves dades es conservaran durant el temps que sigui necessari per a poder
gestionar l'ús que vostè fa de COVID19xat, i en funció de l'evolució de la situació
epidemiològica i d'acord amb les instruccions o directrius de l'autoritat sanitària.
- Les seves dades seran tractades per l'elaboració de perfils en relació amb l'evolució
de la seva simptomatologia del COVID19 i la possible prestació d'assistència urgent.
- Les seves dades es comunicaran a les autoritats sanitàries i a prestadors de serveis
assistencials, segons el cas, així com aquells altres destinataris que es determinin
Les seves dades no es transferiran a cap país fora de la Unió europea.
- Vostè té dret a accedir a les seves dades, sol·licitar la rectificació de les dades
inexactes o, si és el cas, sol·licitar la seva supressió.
Així com limitar el seu tractament,
drets els pot exercir a través del correu electrònic [EMAIL]
La consulta es refereix a un flux de dades personals que, com qualsevol tractament, ha
de tenir una base jurídica suficient (art. 6.1 RGPD), ja sigui pel consentiment dels afectats
(art. 6.1.a) RGPD), o per alguna altra de les circumstàncies que enumera l'article 6.1.
Entre d'altres, segons l'article 6.1.e) de l'RGPD, el tractament serà lícit si "es necesario
L'article 6.3 de l'RGPD estableix que la base del tractament indicat en aquest article 6.1.e)
ha d'estar establerta pel Dret de la Unió europea o pel dret dels Estats membres que
La remissió a la base legítima establerta conforme
el dret intern dels Estats membres a què fa referència aquest article requereix que la
norma de desenvolupament, en tractar-se la protecció de dades personals d'un dret
fonamental, tingui rang de llei (article 53 CE), tal com ha vingut a reconèixer l'article 8 de
Quan el tractament afecta categories especials de dades, en concret dades relatives a la
salut (article 4.15) RGPD), com seria el cas que ens ocupa, també cal comptar amb
alguna de les habilitacions establertes a l'article 9.2 de l'RGPD, per tal de poder
considerar aquest tractament de dades lícit, segons el qual:
L'article 6.1, en connexió amb l'article 9.2, apartats h) i i) de l'RGPD, habiliten el
tractament de dades personals, incloses dades de salut, per part del Departament de
Salut quan el tractament és necessari per a la prestació d'assistència o tractament de
tipus sanitari, o per raons d'interès públic en l'àmbit de la salut pública, com, per exemple,
quan hi ha un risc o una amenaça greu per a la salut de la població, sempre que es faci
sobre la base d'una norma amb rang de llei que estableixi mesures adequades i
específiques per protegir els drets i les llibertats de les persones afectades.
En l'àmbit de Catalunya, cal tenir en compte la Llei 18/2009, del 22 d'octubre, de salut
pública (LSP), que té per objecte l'ordenació de les actuacions, les prestacions i els
serveis en matèria de salut pública en l'àmbit territorial de Catalunya que estableix la Llei
15/1990, del 9 de juliol, d'ordenació sanitària de Catalunya, per a garantir la vigilància de
la salut pública, la promoció de la salut individual i col·lectiva, la prevenció de la malaltia
i la protecció de la salut (article 1).
En el mateix sentit, la Llei 33/2011, de 4 d'octubre,
Cal tenir en compte que les finalitats previstes per al tractament de dades obtingudes a
través de l'aplicació, son les de "Gestionar les dades de salut, identificatives i de
geolocalització, per determinar l'evolució de la malaltia Covid19 a nivell individual i
agregat, per dissenyar i implementar mesures i estratègies de millora de la qualitat dels
serveis i, en el seu cas, l'activació dels sistemes d'emergència per a la prestació
També la possible realització de recerca en relació amb el
coronavirus i la realització d'estadístiques d'evolució de la malaltia tant quantitativa com
De fet, l'aplicació Stop Codiv19 Cat, demana als usuaris la identificació a través del Codi
d'Identificació Personal (CIP) que consta en la targeta sanitària dels usuaris del servei
Es tracta, per tant de dades de persones que són pacients dels serveis
Segons s'explica en la informació disponible sobre l'aplicació: "El sistema sanitari fa la
vigilància del teu cas a partir de les dades enviades per l'aplicació i, si és necessari,
activa els serveis d'emergències mediques."
La finalitat d'assistència sanitària i de recerca, són doncs finalitats previstes en l'aplicació
Stop Codiv19 Cat, que estarien legitimades en els termes del marc normatiu examinat
(articles 6.1.e) i 9.2.i) de l'RGPD, en connexió amb la normativa d'àmbit sanitari
esmentada i les previsions de la legislació d'autonomia del pacient (Llei 21/2000, de 29
de desembre, sobre els drets d'informació concernent la salut i l'autonomia del pacient, i
la documentació clínica, i Llei 41/2002, de 14 de novembre, bàsica reguladora de
l'autonomia del pacient i de drets i obligacions en matèria d'informació i documentació
Per la informació disponible [URL], el Programa PADRIS, que lidera
l'Agència de Qualitat i Avaluació Sanitàries de Catalunya (AQuAS) del Departament de
Salut,"té la missió de posar a disposició de la comunitat científica les dades sanitàries
relacionades per impulsar la recerca, la innovació i l'avaluació en salut mitjançant
l'accés a la reutilització i creuament de les dades sanitàries generades pel sistema
sanitari integral d'utilització pública de Catalunya (SISCAT)".
A través de la Resolució SLT/570/2015, de 16 de març, per la qual es fa públic un
encàrrec de gestió que formalitzen el Departament de Salut, el Servei Català de la Salut
i l'Institut Català de la Salut amb l'Agència de Qualitat i Avaluació Sanitàries de Catalunya.
(DOGC, núm. 6843, 1 d'abril de 2015), es concreta l'encàrrec de tractament a l'AQuAS
per a l'anonimització de la informació inclosa en fitxers que contenen dades personals
del Departament, de l'ICS i del CatSalut, per a les finalitats concretades en la dita
Resolució (entre d'altres, finalitats de recerca), i la seva posterior utilització i cessió de la
informació amb les dites finalitats (Annex 2 de la Resolució).
En l'apartat 2 de les Manifestacions de la Resolució SLT/570/2015, es preveu que "Les
dades assistencials del sistema de salut de Catalunya estan incloses en fitxers de dades
de caràcter personal degudament formalitzats, que s'integren en l'àmbit del Departament
de Salut, del Servei Català de la Salut i de l'Institut Català de la Salut", fitxers que
s'enumeren i es concreten en l'Annex I de la Resolució, a la que ens remetem, entre els
quals es troben, entre d'altres, el Registre de patologies específiques i seguiment
d'activitats sanitàries, el Registre d'informació sanitària de pacients, el fitxer d'estat de la
salut, així com el Registre del conjunt mínim bàsic de dades.
D'entrada, sembla clar que alguns d'aquests registres i fitxers de dades personals
responsabilitat del Departament de Salut, l'ICS i CatSalut (i que són la font d'origen de la
informació que gestiona l'AQuAS en el Programa PADRIS, a través d'un encàrrec del
tractament), poden incorporar dades personals que el Departament de Salut hagi obtingut
a través de l'aplicació a la que es refereix la consulta, per a finalitats assistencials, de
salut pública i també de recerca.
Ara bé, més enllà dels concrets registres o "fitxers" esmentats, que formalment enumera
l'encàrrec del tractament (Annex 1 de la Resolució SLT/570/2015), cal tenir en compte
que amb la plena aplicabilitat de l'RGPD, en els tractaments automatitzats el rellevant a
l'hora de determinar la informació afectada per l'encàrrec del tractament no serà el
concepte de fitxer, que ara no s'exigeix que es creïn formalment ni que es notifiquin a les
autoritats de protecció de dades, sinó la finalitat per a la qual el Departament de Salut
l'ICS i el CatSalut tracten les dades.
I és obvi que les finalitats assistencials i de recerca
amb que es recullen les dades mitjançant l'aplicació Stop Codiv19 Cat encaixen dins les
dades que es preveuen a l'esmentat encàrrec del tractament a AQUAS.
Les finalitats que habiliten el tractament de dades (finalitats d'assistència mèdica (art.
9.2.h) RGPD) i finalitats d'interès públic en l'àmbit de salut pública (art. 9.2.i) RGPD), com
ha quedat dit), les que permeten considerar que l'AQuAS pot accedir i tractar les dades
objecte de consulta en els termes i condicions que preveu l'encàrrec del tractament
Arribats a aquest punt, convé tenir en compte el model tipus de contracte d'encarregat
del tractament que va aprovar la Resolució SLT/570/2015, és anterior a l'entrada en vigor
Ara bé, tot i que el contracte d'encàrrec sigui anterior a la
plena aplicabilitat de l'RGPD, això no vol dir que aquest contracte d'encàrrec hagi perdut
En aquest sentit, la disposició transitòria cinquena de l'LOPDGDD preveu el següent, en
relació amb els contractes d'encàrrec del tractament signats amb anterioritat:
El Pacte Sisè de la Resolució SLT/570/2015, preveu que l'encàrrec de gestió té caràcter
indefinit mentre no es doni cap de les causes de resolució establertes en el Pacte Setè
Per tant, en principi, per la informació disponible, el contracte d'encàrrec del tractament
que haurien subscrit el Departament de Salut, així com l'ICS i CatSalut com a
responsables, amb l'AQuAS, per al tractament de dades dels fitxers i registres consignats
en la Resolució esmentada, en principi estaria vigent fins a l'esmentada data (25 de maig
de 2022), per la qual cosa podria habilitar l'accés i tractament per part d'AQuAS, com a
encarregat, a les dades de què disposa PADRIS, entre d'altres, si escau, les provinents
de l'aplicació Stop Covid19 Cat, per tal que es puguin tractar i destinar a finalitats de
recerca en relació amb aquesta emergència sanitària.
Això, sens perjudici de la conveniència que, com també preveu la disposició transitòria
cinquena de l'LOPDGDD, qualsevol de les parts, ja siguin els responsables del tractament
de les dades (Departament de Salut, ICS i CatSalut), o l'AQuAS com a encarregat del
tractament, exigeixin la modificació del contracte que es va signar en el seu moment, a fi
i efecte de preveure les modificacions pertinents per tal d'adaptar-ne el contingut a les
Respecte la segona pregunta formulada, això és, si atès l'accés legítim d'AQUAS a les
dades obtingudes amb l'aplicació, aquestes dades poden ser utilitzades en el context del
programa PADRIS amb finalitats de recerca, cal tenir en compte que el Programa
PADRIS té la finalitat principal de permetre que els Centres de Recerca de Catalunya
(CERCA), els Centres de recerca vinculats als centres assistencials públics o sense ànim
de lucre del Sistema Integral d'Utilització Pública de Catalunya (SISCAT), i les
Universitats pertanyents a l'Associació Catalana d'Universitats Públiques (ACUP), com
es desprèn de la informació disponible sobre el Programa PADRIS (en concret, en el
document "Programa públic d'analítica de dades per a la recerca i la innovació en salut a
Catalunya – PADRIS –", disponible al web del Departament de Salut), puguin accedir i
tractar informació de PADRIS per a finalitats de recerca.
Tenint en compte això, AQuAS pot oferir les dades a les que té accés i que tracta com a
encarregat en base al Programa PADRIS als diferents destinataris del dit Programa per
a les finalitats previstes, sempre que es compleixin les condicions establertes a l'encàrrec
del tractament establert, i d'acord amb les condicions que determini el Departament de
Salut, com a responsable del tractament.
En aquest sentit, i als efectes dels projectes d'investigació en què es pretenguin utilitzar
aquestes dades, caldrà tenir en compte, especialment les previsions de l'apartat segon
de la disposició addicional dissetena de l'LOPDGDD.
D'acord amb les consideracions fetes en aquest dictamen en relació amb la consulta
plantejada, es fan les següents,
Les dades obtingudes a través de l'aplicació Stop Covid19 Cat per a finalitats
d'assistència sanitària i de recerca mèdica i epidemiològica, dels usuaris del sistema de
salut, poden ser objecte de tractament per part d'AQuAS a través de l'encàrrec del
tractament previst a la Resolució SLT/570/2015.
AQuAS pot oferir les dades a les que té accés i que tracta en base al Programa PADRIS
als diferents destinataris del dit Programa per a les finalitats previstes, sempre que es
compleixin les condicions establertes a l'encàrrec del tractament, i d'acord amb les
condicions que determini el Departament de Salut, com a responsable del tractament.