Entre los días 12 y 13 de marzo, la Agencia Española de Protección de Datos (AEPD) publicó un informe de su gabinete jurídico en relación con los tratamientos de datos resultantes de la actual situación derivada de la extensión del virus COVID-19, acompañado de un documento que recoge las preguntas más frecuentes en relación con los tratamientos de datos y el coronavirus.
A continuación, presentamos un análisis de los dos documentos publicados por la AEPD con la intención de resumir su contenido y facilitar su comprensión a los responsables de tratamientos de datos que puedan verse afectados.
La AEPD aclara que los tratamientos de datos personales en situaciones de una emergencia sanitaria deben seguir siendo tratados de conformidad con la normativa de protección de datos personales, sin perjuicio de que dichas consideraciones no deberían utilizarse para obstaculizar o limitar la efectividad de las medidas que adopten las autoridades, especialmente las sanitarias.
En esta línea, la AEPD recuerda que deben seguir aplicándose todos los principios contenidos en el artículo 5 RGPD y, entre ellos, el de tratamiento de datos personales con licitud, lealtad y transparencia, de limitación de la finalidad, principio de exactitud y, sobre todo, el principio de minimización de datos.
A estos efectos, la AEPD analiza los criterios que permiten un tratamiento lícito de los datos personales en estas circunstancias, con atención a los artículos 6 y 9 del RGPD, sin perjuicio de que las decisiones de los responsables de tratamientos de datos sigan lo que las autoridades establezcan:
| Bases jurídicas para un tratamiento lícito de datos personales | |
| Artículo 6.1.c) RGPD | El tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. |
| Artículo 6.1.d) RGPD | El tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física (aunque no sea identificable). |
| Artículo 6.1.e) RGPD | El tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. |
|
Además de una base jurídica del art. 6 RGPD, debe existir una circunstancia que levante la prohibición de tratamiento de datos de salud: |
|
| Artículo 9.2.b) RGPD | El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social. |
| Artículo 9.2.c) RGPD | El tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento. |
| Artículo 9.2.g) RGPD | El tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros. |
| Artículo 9.2.h) RGPD | El tratamiento es necesario para realizar un diagnóstico médico, o evaluación de la capacidad laboral del trabajador o cualquier otro tipo de asistencia de tipo sanitario o para la gestión de los sistemas y servicios de asistencia sanitaria y social. |
| Artículo 9.2.i) RGPD | El tratamiento es necesario por razones de interés público en el ámbito de la salud pública, sobre la base del Derecho de la Unión o de los Estados miembros. |
2. PREGUNTAS MÁS FRECUENTES EN RELACIÓN CON LOS TRATAMIENTOS DE PROTECCIÓN DE DATOS Y EL CORONAVIRUS:
¿Pueden los empresarios tratar la información de si las personas trabajadoras están infectadas del coronavirus?
Los empresarios pueden tratar información de si las personas trabajadoras están infectadas del coronavirus para diseñar, a través de su servicio de prevención, los planes de contingencia que sean necesarios o que hayan sido previstos por las autoridades sanitarias.
La empresa podrá conocer si la persona trabajadora está infectada o no, incluido mediante preguntas al personal. Sin embargo, las preguntas deberían limitarse exclusivamente a indagar sobre la existencia de síntomas, o si la persona trabajadora ha sido diagnosticada como contagiada, o sujeta a cuarentena.
En este sentido, resultaría contrario al principio de minimización de datos la circulación de cuestionarios de salud extensos y detallados, o que incluyan preguntas no relacionadas con la enfermedad.
¿Pueden transmitir esa información al personal de la empresa?
Si es posible alcanzar la finalidad de protección de la salud del personal sin especificar la identidad de la persona contagiada, la información debería transmitirse al personal de la empresa sin identificarla.
Si, por el contrario, ese objetivo no puede conseguirse con información parcial, o la práctica es desaconsejada por las autoridades competentes, en particular las sanitarias, podría proporcionarse la información identificativa.
¿Se puede pedir a las personas trabajadoras y visitantes ajenos a la empresa datos sobre países que hayan visitado anteriormente, o si presentan sintomatología relacionada con el coronavirus?
Se puede pedir a las personas trabajadoras y visitantes ajenos a la empresa datos sobre países que hayan visitado anteriormente, o si presentan sintomatología relacionada con el coronavirus, limitándose exclusivamente a preguntas por visitas a países de alta prevalencia del virus y en el marco temporal de incubación de la enfermedad, las últimas 2 semanas, o si se tiene alguno de los síntomas de la enfermedad.
¿Se pueden tratar los datos de salud de las personas trabajadoras relacionados con el coronavirus?
Se pueden tratar los datos de salud de las personas trabajadoras relacionados con el coronavirus, en observancia de los principios establecidos en el RGPD, cuando sea necesario para salvaguardar los intereses vitales de las personas físicas, el interés público esencial en el ámbito de la salud, la realización de diagnósticos médicos, o el cumplimiento de obligaciones legales en el ámbito laboral, incluido el tratamiento de datos de salud sin necesidad de contar con el consentimiento explícito el afectado.
En caso de cuarentena preventiva o estar afectado por el coronavirus, ¿el trabajador tiene obligación de informar a su empleador de esta circunstancia?
Los trabajadores que, tras haber tenido contacto con un caso de coronavirus, pudieran estar afectados por dicha enfermedad y que, por aplicación de los protocolos establecidos por las Autoridades Sanitarias competentes, se ven sometidos al correspondiente aislamiento preventivo para evitar los riesgos de contagio derivados de dicha situación hasta tanto se disponga del correspondiente diagnóstico, deberán informar a su empleador y al servicio de prevención o, en su caso, a los delegados de prevención (Ley de Prevención de Riesgos Laborales).
La persona trabajadora en situación de baja por enfermedad no tiene obligación de informar sobre la razón de la baja a la empresa, sin embargo, este derecho individual puede ceder frente a la defensa de otros derechos como el derecho a la protección de la salud del colectivo de trabajadores en situaciones de pandemia y, más en general, la defensa de la salud de toda la población.
¿El personal de seguridad puede tomar la temperatura a los trabajadores con el fin de detectar casos coronavirus?
Se puede tomar la temperatura a los trabajadores con el fin de detectar casos de coronavirus, aunque preferiblemente debería ser realizado por personal sanitario. En todo caso, el tratamiento de los datos obtenidos a partir de las tomas de temperatura debe respetar la normativa de protección de datos y, por ello y entre otras obligaciones, debe obedecer a la finalidad específica de contener la propagación del coronavirus, limitarse a esa finalidad y no extenderse a otras distintas, y mantenidos no más del tiempo necesario para la finalidad para la que se recaban.
La información aquí contenida es una síntesis de la información original ofrecida por la Agencia Española de Protección de Datos (AEPD). Para más información, le recomendamos que visite los recursos publicados en www.aepd.es.
