La Secretaria General de Administración Digital, por delegación de la Secretaría de Estado de Digitalización e Inteligencia Artificial y Telefónica Digital España, S.L.U., han suscrito, el 4 de abril de 2020, el Convenio entre la Secretaría de Estado de Digitalización e Inteligencia Artificial y Telefónica Digital España, S.L.U., para la operación de la aplicación «ASISTENCIACOVID19» en el contexto de la situación de crisis sanitaria ocasionada por el COVID-19.

Para general conocimiento y en cumplimiento de lo establecido en el artículo 48.8 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, se dispone la publicación del referido Convenio, como anejo a la presente Resolución.

Madrid, 30 de abril de 2020.–El Secretario General de Administración Digital, Fernando de Pablo Martín.

(V-26 FINAL)

ANEJO

Convenio entre Secretaría de Estado de Digitalización e Inteligencia Artificial y Telefónica Digital España, S.L.U., para la operación de la aplicación «ASISTENCIACOVID19» en el contexto de la situación de crisis sanitaria ocasionada por el COVID-19

REUNIDOS

De una parte, don Fernando de Pablo Martín, Secretario General de Administración Digital, nombrado para este cargo por el Real Decreto 791/2018, de 29 de junio, actuando en nombre y representación de la Secretaría de Estado de Digitalización e Inteligencia Artificial, en ejercicio de las competencias atribuidas por la Orden TPF/296/2019, de 12 de marzo, sobre fijación de límites para la administración de créditos para gastos y de delegación de competencias, que se mantiene vigente de acuerdo con lo establecido en el Real Decreto 403/2020, de 25 de febrero, por el que se desarrolla la estructura orgánica básica del Ministerio de Asuntos Económicos y Transformación Digital y en virtud de la Orden SND/297/2020, de 27 de marzo, por la que se encomienda a la Secretaría de Estado de Digitalización e Inteligencia Artificial, del Ministerio de Asuntos Económicos y Transformación Digital, el desarrollo de diversas actuaciones para la gestión de la crisis sanitaria ocasionada por el COVID-19.

Y de otra, doña Elena Gil Lizasoain, en calidad de Apoderada de la entidad Telefónica Digital España, S.L.U. (en adelante, Telefónica), facultándole para suscribir este documento el poder otorgado mediante las decisiones adoptadas por el administrador solidario de la sociedad con fecha 25 de septiembre de 2014, elevadas a público con fecha 6 de octubre de 2014 ante el Notario de Madrid, don Jesús Roa Martínez con el número 151 de su protocolo, con domicilio social en Gran Vía, 28, Madrid, 28013, España, y CIF número B-83188953.

Ambos intervienen en uso de las facultades que, de conformidad con la normativa vigente, les confieren los cargos que desempeñan y se reconocen mutuamente capacidad para la firma del presente Convenio y, a tal efecto,

EXPONEN

Primero.

Que de acuerdo con lo señalado en la exposición de motivos del Real Decreto 463/2020, de 14 de marzo, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el COVID-19, la Organización Mundial de la Salud elevó el pasado 11 de marzo de 2020 la situación de emergencia de salud pública ocasionada por el COVID-19 a pandemia internacional. La rapidez en la evolución de los hechos, a escala nacional e internacional, requiere la adopción de medidas inmediatas y eficaces para hacer frente a esta coyuntura. Las circunstancias extraordinarias que concurren constituyen, sin duda, una crisis sanitaria sin precedentes y de enorme magnitud tanto por el muy elevado número de ciudadanos afectados como por el extraordinario riesgo para sus derechos. Por ello, en el marco de la declaración del estado de alarma que se lleva a cabo por dicho real decreto, las medidas previstas en este se encuadran en la acción decidida del Gobierno para proteger la salud y seguridad de los ciudadanos, contener la progresión de la enfermedad y reforzar el sistema de salud pública.

Segundo.

Que de acuerdo con lo previsto en el artículo 4.2.d) del Real Decreto 463/2020, de 14 de marzo, para el ejercicio de las funciones a que se hace referencia en dicho real decreto, bajo la superior dirección del Presidente del Gobierno, el Ministro de Sanidad es la autoridad competente delegada en su área de responsabilidad y en las áreas de responsabilidad que no recaigan en la competencia de los Ministros de Defensa, del Interior y de Transportes, Movilidad y Agenda Urbana. Asimismo, el Ministro de Sanidad queda habilitado para dictar las órdenes, resoluciones, disposiciones e instrucciones interpretativas que, en la esfera específica de su actuación, sean necesarios para garantizar la prestación de todos los servicios, ordinarios o extraordinarios, en orden a la protección de personas, bienes y lugares, mediante la adopción de cualquiera de las medidas previstas en el artículo once de la Ley Orgánica 4/1981, de 1 de junio.

Tercero.

Que la Orden SND/297/2020, de 27 de marzo, del Ministro de Sanidad encomienda a la Secretaría de Estado de Digitalización e Inteligencia Artificial, del Ministerio de Asuntos Económicos y Transformación Digital, el desarrollo de diversas actuaciones para la gestión de la crisis sanitaria ocasionada por el COVID-19. Establece en su resolución primera, apartado 1, que se encomienda a la Secretaría de Estado de Digitalización e Inteligencia Artificial, del Ministerio de Asuntos Económicos y Transformación Digital, el desarrollo urgente y operación de una aplicación para la gestión de la crisis sanitaria ocasionada por el COVID-19. Dicha aplicación permitirá, al menos, realizar al usuario la autoevaluación en base a los síntomas médicos que comunique, acerca de la probabilidad de que esté infectado por el COVID-19, ofrecer información al usuario sobre el COVID-19 y proporcionar al usuario consejos prácticos y recomendaciones de acciones a seguir según la evaluación.

Cuarto.

Que de acuerdo con lo previsto en el artículo 9.1 del Real Decreto 403/2020, de 25 de febrero, por el que se desarrolla la estructura orgánica básica del Ministerio de Asuntos Económicos y Transformación Digital, la Secretaría General de Administración Digital es el órgano directivo bajo la autoridad de la persona titular de la Secretaría de Estado de Digitalización e Inteligencia Artificial al que corresponde la dirección, coordinación y ejecución de las competencias atribuidas al Departamento en materia de transformación digital de la Administración.

En concreto, corresponden a la SGAD, entre otras funciones, el diseño técnico, implantación y gestión de los medios y servicios digitales necesarios para evolucionar los servicios públicos actuales hacia servicios públicos universales de calidad orientados a los ciudadanos y empresas, promoviendo la incorporación de las tecnologías de la información y las comunicaciones y la digitalización a los procedimientos administrativos y la adaptación de la gestión pública al uso de medios digitales, en colaboración con la Secretaría General de Función Pública.

Quinto.

Que en la citada Orden ministerial SND/297/2020, de 27 de marzo, se establece que el responsable del tratamiento de los datos será el Ministerio de Sanidad y el encargado del tratamiento y titular de la aplicación será la Secretaría General de Administración Digital, órgano directivo de la Secretaría de Estado de Digitalización e Inteligencia Artificial, al que corresponde la dirección, coordinación y ejecución de las competencias atribuidas a la Secretaría de Estado en materia de transformación digital de la Administración y que en virtud de dicha orden queda autorizado para la ejecución de la aplicación informática «ASISTENCIACOVID19» en el marco de lo establecido en el artículo 28 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos, RGDP en adelante). En la citada orden, además, el Ministerio de Sanidad, como responsable del tratamiento de los datos, autoriza a la Secretaría General de Administración Digital, a recurrir a otros encargados en la ejecución de la citada aplicación.

Sexto.

Que Telefónica es una empresa que se dedica a la prestación de, entre otros, diversos servicios digitales y tecnológicos relacionados con el desarrollo, operación mantenimiento y alojamiento de aplicaciones para dispositivos móviles.

Séptimo.

Que en el marco de la situación de emergencia por el denominado «Coronavirus» COVID-19, Telefónica se ha ofrecido a colaborar en conjunto con otros autores y colaboradores en el desarrollo y operación de la aplicación informática «ASISTENCIACOVID19» con el alcance y en las condiciones que se recogen en el presente Convenio, que ayuda a la autoevaluación de los ciudadanos de la probabilidad de sufrir COVID-19 y con ello a reducir el volumen de llamadas a los números telefónicos que se han puesto a disposición de los ciudadanos para resolver las dudas al respecto, permitir un triaje inicial de posibles casos y un seguimiento posterior, aliviar la carga de los Servicios de Emergencia de las distintas Administraciones Públicas con competencia en materia de salud y contribuir así a la gestión de la referida crisis, la tranquilidad de la población y, en general, al restablecimiento del bienestar común.

Octavo.

Que Telefónica es el titular de los derechos de propiedad intelectual e industrial sobre el conjunto de desarrollos informáticos contra los que la referida aplicación funcionará, y que cede los derechos de propiedad intelectual e industrial sobre el conjunto de desarrollos informáticos contra los que la referida aplicación funcionará, a favor de la Administración General del Estado, a través de la SGAD, que lo liberará y hará público bajo un esquema de código abierto («open source»).

Noveno.

Que el artículo 47.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, define a los Convenios como los acuerdos con efectos jurídicos adoptados por las Administraciones Públicas, los organismos públicos y entidades de derecho público vinculados o dependientes o las Universidades públicas entre sí o con sujetos de derecho privado para un fin común.

Décimo.

Que es de interés general para el Gobierno de la Nación y las partes firmantes dar respuesta al objetivo común de contribuir a la gestión de la situación de crisis sanitaria ocasionada por el COVID-19, la tranquilidad de la población y, en general, al restablecimiento del bienestar común y es de interés que Telefónica colabore en la ejecución de actividades para posibilitar la operación de la aplicación.

Por todo ello, ambas partes suscriben el presente Convenio, que se regirá por las siguientes

CLÁUSULAS

Primera. Objeto.

1. El presente Convenio tiene por objeto establecer los términos concretos bajo los que Telefónica colaborará con la Secretaría de Estado de Digitalización e Inteligencia Artificial del Ministerio de Asuntos Económicos y Transformación Digital, a través de la Secretaría General de Administración Digital (SGAD en adelante), en la ejecución de actividades que permitirán la implementación y despliegue de la aplicación gratuita «ASISTENCIACOVID19» (en adelante, la «aplicación»).

2. En virtud de este Convenio la Administración General del Estado, a través de la SGAD pasa a ser la titular de la mencionada aplicación y de los derechos de propiedad intelectual e industrial sobre el conjunto de desarrollos informáticos contra los que la referida aplicación funcionará, liberando su código bajo un esquema de código abierto («open source») una vez acreditado su correcto funcionamiento.

3. A los efectos del presente Convenio, y de conformidad con lo dispuesto en la resolución primera apartado 1, párrafo cuarto, de la Orden del Ministro de Sanidad SND/297/2020, de 27 de marzo, por la que se encomienda a la Secretaría de Estado de Digitalización e Inteligencia Artificial, del Ministerio de Asuntos Económicos y Transformación Digital, el desarrollo de diversas actuaciones para la gestión de la crisis sanitaria ocasionada por el COVID-19, el Ministerio de Sanidad tendrá la consideración de Responsable del Tratamiento, la SGAD tendrá la consideración de Encargado del Tratamiento y Telefónica tendrá la consideración de Subencargado del Tratamiento.

Segunda. Características de la aplicación.

1. La aplicación ayuda a la autoevaluación de los ciudadanos de la probabilidad de sufrir COVID-19 y con ello a reducir el volumen de llamadas a los números telefónicos que se han puesto a disposición de los ciudadanos para resolver las dudas al respecto, permitir un triaje inicial de posibles casos y un seguimiento posterior.

2. A la fecha de la firma del presente Convenio, la aplicación permite las siguientes funcionalidades:

a) Realizar la autoevaluación en base a los síntomas médicos que el usuario comunique acerca de la probabilidad de que esté infectado por el COVID-19.

c) Ofrecer información al usuario sobre el COVID-19, incluyendo el envío de notificaciones a través de la aplicación en relación con las mejores medidas preventivas y de evaluación en cada momento.

c) Ofrecer información al usuario sobre el COVID-19, incluyendo el envío de notificaciones a través de la aplicación en relación con las mejores medidas preventivas y de evaluación en cada momento.

d) Proporcionar al usuario consejos prácticos y recomendaciones de acciones a seguir según la evaluación.

e) Geolocalizar al usuario mediante la información de geolocalización vía GPS disponible en su teléfono móvil. Dicha geolocalización únicamente se utilizará en el momento el registro de los usuarios, así como cuando estos realicen sus autoevaluaciones, para poder conocer en qué Comunidad Autónoma se encuentran y poder conectarles con el sistema de atención sanitaria que les corresponda.

f) Acceso a la información de los ciudadanos por parte de las autoridades sanitarias competentes, a través de una pasarela de intercambio de información y un protocolo de datos definido con cada una de las Administraciones.

g) Así mismo, la aplicación se desarrolla en formato web, formato móvil (IoS, Android) y permitirá también realizar autoevaluaciones en otros dispositivos o interfaces de visualización como televisión o asistentes virtuales, accesible por los usuarios que dispongan del equipamiento y de las aplicaciones necesarias para ello.

3. La aplicación puede incluir dentro de sus contenidos enlaces con portales gestionados por terceros con el objeto de facilitar el acceso a información y servicios disponibles a través de Internet.

4. La aplicación no constituye en ningún caso un servicio de diagnóstico médico, de atención de urgencias o de prescripción de tratamientos farmacológicos. La utilización de la aplicación no sustituye en ningún caso la consulta con un profesional médico debidamente cualificado.

5. Las categorías de datos que serán tratados por el Encargado y el Subencargado del Tratamiento incluyen:

a) Datos identificativos y de contacto de usuarios, incluyendo entre otros:

1.º Nombre y apellidos.

2.º Número de teléfono móvil.

3.º DNI/NIE.

4.º Dirección completa y código postal.

5.º Fecha de nacimiento.

6.º Género.

b) Geolocalización GPS de los usuarios. Dicha geolocalización únicamente se utilizará a los efectos previstos en el párrafo e) del apartado 2 de la cláusula segunda del Convenio.

c) Datos de salud de los usuarios, incluyendo, entre otros, sintomatología como:

1.º Tos seca.

2.º Fiebre de más de 37,5 ºC.

3.º Falta de aire.

4.º Patologías previas.

5.º Si se ha estado en contacto con algún paciente positivo confirmado de COVID-19.

6.º Mucosidad nasal.

7.º Dolor muscular; y/o,

8.º Malestar general.

d) Datos de uso e interacciones de los usuarios con la aplicación.

Todo lo anterior, en adelante, denominado el «tratamiento».

Tercera. Autoría de la aplicación.

A los efectos del presente Convenio, cualquier referencia a «autor» o «autores» se entenderá hecha tanto en relación con Telefónica y sus empleados y/o colaboradores en la parte que les pudiera corresponder, como con los siguientes terceros y sus respectivos empleados y asesores que hubieran podido estar involucrados en el desarrollo de la aplicación:

a) CARTODB Inc. Sucursal en España, CIF W4007666C.

b) Mendesaltaren, S.L., CIF B87818712.

c) Tritium Software, S.L., CIF B64685092.

Cuarta. Obligaciones del Encargado y Subencargado del Tratamiento.

A los efectos del encargo del tratamiento se cumplirán las disposiciones establecidas en el artículo 28.3 del RGPD, incluyendo:

1. El Encargado del Tratamiento informará lo antes posible al Responsable del Tratamiento si considera que, en su opinión o porque así se lo haya comunicado el Subencargado del Tratamiento, alguna de las instrucciones del Responsable del Tratamiento infringe el RGPD, la Ley Orgánica 3/2018, de 5 de diciembre o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados miembros.

2. El Encargado y Subencargado del Tratamiento, en lo relativo al Tratamiento indicado, asumen las siguientes obligaciones:

a) Acceder y tratar a los datos de carácter personal responsabilidad del Responsable del Tratamiento únicamente cuando sea necesario para el buen desarrollo de los servicios objeto del Convenio.

b) Utilizar los datos personales de forma reservada de acuerdo a las instrucciones proporcionadas por el Responsable del Tratamiento conforme a lo establecido en la normativa aplicable.

c) En caso de que el tratamiento incluya la recogida de datos personales en nombre y por cuenta del Responsable del Tratamiento, el Encargado del Tratamiento y el Subencargado del Tratamiento deberán seguir los procedimientos e instrucciones documentadas que, a estos efectos, reciban del Responsable del Tratamiento, especialmente en lo relativo al deber de información y, en su caso, la obtención del consentimiento de los afectados.

d) No destinar, aplicar o utilizar los datos de carácter personal responsabilidad del Responsable del Tratamiento a un fin distinto del indicado en el presente Convenio con o sin su autorización, o de cualquier otra forma que suponga un incumplimiento de las instrucciones documentadas del Responsable del Tratamiento.

e) Restringir el acceso a la información a sus empleados y subcontratados, salvo en la medida en que razonablemente puedan necesitarla para el cumplimiento de sus tareas acordadas.

f) Impedir la copia o revelación de esa información a terceros, salvo que goce de aprobación escrita de las partes y únicamente en términos de tal aprobación. Asimismo, no divulgar ni comunicar sin la autorización del Responsable del Tratamiento la información facilitada o recibida como resultado de la firma del presente Convenio.

g) En caso de estar obligado a ello por el artículo 30 del RGPD y 31 de la Ley Orgánica 3/2018, de 5 de diciembre, el Encargado del Tratamiento y el Subencargado del Tratamiento mantendrán un registro de todas las actividades de tratamiento efectuadas por cuenta del Responsable del Tratamiento, que contenga la información exigida por el artículo 30.2 del RGPD.

h) Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales.

i) Dar apoyo al Responsable del Tratamiento en la realización de las evaluaciones de impacto relativas a la protección de datos que en su caso deba realizar, cuando proceda, conforme a la normativa aplicable.

j) Dar apoyo al Responsable del Tratamiento en la realización de las consultas previas a la Autoridad de Control que en su caso deba de realizar, cuando proceda, conforme a la normativa aplicable.

k) Poner a disposición del Responsable del Tratamiento toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realicen al Responsable del Tratamiento u otro auditor autorizado por este.

l) Adoptar las medidas técnicas y organizativas apropiadas, según lo establecido en el artículo 32 del RGPD, en la disposición adicional primera de la Ley Orgánica 3/2018, de 5 de diciembre, y en el Real Decreto 3/2010, de 8 de enero, de acuerdo con el correspondiente análisis de riesgos, que garanticen la seguridad de los datos de carácter personal responsabilidad del Responsable del Tratamiento y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que estén expuestos, ya provengan de la acción humana o del medio físico o natural.

m) Comunicar al Responsable del Tratamiento, sin dilación indebida, la existencia de una brecha de seguridad para que este lo comunique a la autoridad de control.

n) Designar un Delegado de Protección de Datos y comunicar su identidad y datos de contacto al Responsable del Tratamiento, así como cumplir con todo lo dispuesto en los artículos 37, 38 y 39 del RGPD y 35 a 37 de la Ley Orgánica 3/2018, de 5 de diciembre.

Telefónica cuenta con un Delegado de Protección de Datos (DPO) designado, con el que se puede contactar a través de la siguiente dirección de correo electrónico [email protected].

La SGAD cuenta con un Delegado de Protección de Datos (DPO) designado, que es el del Ministerio de Asuntos Económicos y Transformación Digital, con el que se puede contactar a través de la siguiente dirección de correo electrónico [email protected].

o) Respetar todas las obligaciones que pudieran corresponderle como Encargado del Tratamiento o Subencargado del Tratamiento con arreglo al RGPD y la Ley Orgánica 3/2018, de 5 de diciembre, o de cualquier otra disposición o regulación complementaria en materia de protección de datos que, en su caso, le fuera igualmente aplicable.

p) En caso de que el Encargado del Tratamiento deba transferir o permitir acceso a datos personales responsabilidad del Responsable del Tratamiento a un tercero en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará al Responsable del Tratamiento de esa exigencia legal de manera previa, salvo que estuviese prohibido por razones de interés público.

3. En su condición de Subencargado del Tratamiento, Telefónica será responsable ante el incumplimiento de estas obligaciones, ya sea por sus empleados o por subcontratados, conforme a lo establecido en la estipulación octava del Convenio, con relación a la cual, la exoneración que incluye en ningún caso alcanzará a la obligación de cumplimiento del marco jurídico aplicable y en especial a las obligaciones específicas del Encargado del Tratamiento previstas en el RGPD ni en la Ley Orgánica 3/2018, de 5 de diciembre.

4. El Encargado del Tratamiento, el Subencargado del Tratamiento y, en su caso, sus subcontratistas ubicarán las actividades del Tratamiento dentro del territorio de la Unión Europea.

5. El acceso y el tratamiento de datos de carácter personal en el marco del Convenio se realiza con el único fin de permitir una adecuada colaboración en las actividades previstas en el Convenio la ejecución del Tratamiento, sin considerarse como una cesión o comunicación de datos.