La Agencia Española de Protección de Datos (en adelante, "AEPD") publicó el pasado 26 de marzo una actualización de su comunicación sobre aplicaciones y páginas web que permiten realizar una autoevaluación del COVID-19 que conllevan tratamientos de datos personales.
De acuerdo con el contenido del comunicado publicado por la AEPD, la situación de emergencia sanitaria que atraviesa el país no puede suponer una suspensión del derecho fundamental a la protección de los datos personales. No obstante, como autoridad competente, es consciente de que la normativa de protección de datos no puede ser utilizada para obstaculizar o limitar las medidas adoptadas por las autoridades competentes en una situación como esta.
En este sentido, la AEPD manifiesta su apoyo hacia aquellas iniciativas, tanto del sector público como privado, que pretenden evitar el colapso del sistema sanitario, y asistir a las autoridades sanitarias con su apoyo y colaboración.
Estas iniciativas, pueden conllevar un elevado número de tratamientos de datos personales, y especialmente, de datos sensibles como son los de salud, o incluso información relativa a la localización personal de los interesados. Para ello, a través de este comunicado, la AEPD quiere recordar los criterios que deben aplicarse para que el tratamiento de los datos personales sea lícito.
La legitimación para realizar los tratamientos de datos personales se basa en la necesidad de atender las misiones en cumplimiento de un interés público, así como la de garantizar los intereses vitales de los propios afectados, o de terceras personas que pudieran verse afectadas. Por supuesto, quedarían exceptuados de esta legitimación aquellas actividades de tratamiento realizadas por entidades privadas que no actúen bajo la dirección de autoridades públicas.
De acuerdo con lo anterior, aquellas finalidades para las que podrán tratarse los datos se limitarán estrictamente al control de la epidemia, así como a ofrecer información sobre el uso de aplicaciones de autoevaluación, o la obtención de estadísticas con datos de geolocalización agregados para ofrecer mapas que informen sobre áreas de mayor o menor riesgo.
Si bien se podrán obtener y tratar aquellos datos personales que las autoridades públicas competentes consideren necesarios para el cumplimiento de las finalidades informadas, en el caso de que los datos tratados fueran de menores de 16 años, se establece la obligación de recabar la necesaria autorización de los padres o representantes legales. Todo ello sin menoscabo del cumplimiento del resto de obligaciones recogidas en la normativa aplicable en materia de protección de datos.
Los datos personales solo podrán ser tratados por las autoridades públicas competentes (Ministerio de Sanidad y Consejerías de Sanidad de las Comunidades Autónomas), pudiendo ser comunicados entre ellas y con los profesionales sanitarios que traten a los pacientes o ejerzan control de la epidemia.
Las entidades privadas sólo podrán tratar los datos conforme a las instrucciones de las autoridades, asemejando su figura al papel de los encargados de tratamiento.
Respecto del tratamiento de datos consistente en geolocalización, y en relación con la situación excepcional en que nos encontramos, se establece que el único dato personal que debe facilitarse por los operadores de telecomunicaciones sería el correspondiente al número de teléfono, salvo que el Ministerio de Sanidad considerase que fuera necesario facilitar algún dato adicional a los efectos del seguimiento de la enfermedad. Estos tratamientos de datos perseguirán, entre otras finalidades, la realización de aquellos seguimientos de personas físicas que resulten necesarios e imprescindibles para garantizar la salud pública.
Por último, tal y como se ha señalado anteriormente, los ciudadanos deberán disponer de información clara, accesible y fácilmente comprensible con respecto de todos aquellos aspectos concernientes al tratamiento de sus datos personales, con el fin de dar pleno cumplimiento al principio de transparencia recogido en la normativa aplicable.
En relación con las iniciativas comentadas, debemos hacer referencia a la reciente Orden SND/297/2020, de 27 de marzo, por la que se encomienda a la Secretaría de Estado de Digitalización e Inteligencia Artificial, del Ministerio de Asuntos Económicos y Transformación Digital, el desarrollo de determinadas soluciones tecnológicas y aplicaciones móviles para la recopilación de datos con el fin de mejorar la eficiencia operativa de los servicios sanitarios, así como la mejor atención y accesibilidad por parte de los ciudadanos:
