La Agencia Española de Protección de Datos (en adelante, “AEPD”) ha sancionado a una escuela de aviación al pago de 90.000 euros, como consecuencia de un tratamiento de datos innecesario para la ejecución de un contrato de prestación de servicios de enseñanza, que, además, se realizaba conforme a una base de licitud inadecuada.
La escuela de aviación tenía como práctica solicitar a sus estudiantes la siguiente información, con la finalidad de, una vez superado el curso, y de cara a obtener el certificado de la Autoridad Estatal de Seguridad Aérea (en adelante “AESA”) poner a disposición de dicha entidad los datos de los estudiantes:
- Una declaración de salud.
- Un certificado médico.
- Un certificado de antecedentes penales.
En vista de los datos solicitados por la escuela de aviación, el alumno interpuso reclamación, y, la AEPD resuelve en el siguiente sentido:
- En la medida en que se solicitan datos de salud, (solicitud de la declaración de salud y del certificado médico) la escuela efectúa un tratamiento de categorías especiales de datos, y, por tanto, es necesario que concurra una de las circunstancias que para dicho tratamiento exige el art. 9.2 del Reglamento General de Protección de Datos (en adelante, “RGPD”). En este caso, la AEPD argumenta que no concurre circunstancia alguna para el levantamiento de la prohibición, y que, por tanto, la escuela de aviación infringe el art. 9.2 del RGPD.
- Además, al levantamiento de la prohibición se le ha de unir una adecuada base de licitud para el tratamiento de los datos personales. En este caso, la escuela de aviación basaba el tratamiento de los datos del alumnado en el art. 6.1.b) RGPD: “el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de éste de medidas precontractuales”. No obstante, la AEPD estima que no es una base legitimadora adecuada para que la escuela de aviación solicite de forma anticipada los requerimientos sobre datos médicos que a futuro se puede exigir por otros sujetos, en la medida en que el tratamiento no es necesario para la ejecución del contrato de formación.
Todo ello, unido a una infracción del principio de minimización de datos, hace que la AEPD termine sancionando a la escuela de aviación al pago de una multa de 90.000 euros.
