Criterios de la AEPD para la compatibilidad de apps y webs de autoevaluación de COVID-19

Con motivo de la expansión del COVID-19, están surgiendo distintas iniciativas, tanto públicas como privadas, entre las que se encuentran la creación de nuevas apps y webs de información sobre la pandemia y autoevaluación de los síntomas que cada persona puede estar sufriendo.

Siguiendo esta estela de iniciativas y movimientos en tiempos de COVID-19, y teniendo en consideración el tratamiento de datos personales y, particularmente, de salud que muchas de estas iniciativas implican, la Agencia Española de Protección de Datos (en adelante, “AEPD”) ha emitido un comunicado sobre los criterios que permiten compatibilizar el uso de estas apps y web de autoevaluación de COVID-19 con la regulación existente en materia de protección de datos.

En este comunicado, la AEPD reitera su postura inicial de no obstaculizar o limitar la efectividad de las medidas adoptadas, principalmente por las autoridades sanitarias, para la lucha contra la crisis sanitaria, a la vez que subraya la importancia de que todas estas medidas no supongan una suspensión o no violación del derecho fundamental a la protección de datos.

Con esta visión, la AEPD subraya que solo las autoridades públicas competentes se encontrarían legitimadas y, por tanto, resulta importante prestar especial cuidado a la titularidad de las apps y webs cuando el ciudadano vaya a utilizar alguna de ellas. En estos casos, la AEPD recuerda que estas apps o webs deberán tener en consideración los siguientes criterios:

Solamente podrán tratar los datos recogidos las autoridades públicas competentes, o terceros en su nombre y por cuenta de estas, para actuar de conformidad con la declaración de estado de alarma, y los profesionales sanitarios participantes en el control de la pandemia.

Deberá informarse de forma clara, accesible y facilmente comprensible a la población de los aspectos previstos en la normativa aplicable en materia de protección de datos y, en particular, aspectos descritos en esta comunicación.

La base jurídica o legitimación para llevar a cabo ese tratatamiento de datos personales es atender una misión realizada en interés público y garantizar intereses vitales de los propios afectados o terceras personas.

La finalidad del tratamiento solamente podrá estar relacionada con el control de la epidemia, ya sea ofrecer información sobre el uso de las apps de autoevaluación realizadas por las administraciones públicas o la obtención de estadísticas con datos de geolocalización agregados para ofrecer mapas que informen sobre áreas de mayor o menor riesgo.

Solamente podrán recogerse y utilizarse los datos que las autoridades consideren proporcionados y necesarios para esa finalidad.

Solo podrán recogerse datos de personas mayores de 16 años o, siendo menores, con la autorización de sus representantes legales.

Asimismo, y en línea con la carta publicada por el Supervisor Europeo de Protección de Datos, el día 25 de marzo de 2020, de la que os hablamos en esta otra entrada del blog, la AEPD también se pronuncia sobre la posibilidad de geolocalizar a los ciudadanos, si bien en este caso se limita a pronunciarse sobre la geolocalización de los ciudadanos que hubieran dado positivo en la prueba del COVID-19 a través del teléfono móvil que previamente hubieran facilitado.

En estos casos, entiende la AEPD que, considerando esta situación excepcional de crisis sanitaria, esta medida sería legítima, en la medida en que es una forma de control y seguimiento del cumplimiento de la cuarentena impuesta a estas personas, derivada de la declaración del estado de alarma y la limitación de la libertad de circulación de las personas. No obstante, las autoridades competentes solo deberían facilitar, en principio, el teléfono móvil de estas personas a los operadores de telecomunicaciones para su geolocalización.

Alejandro Negro Consejero

Adaya Esteban Asociada