Análisis sobre la realización de controles en la entrada establecimientos en fase de desescalada conforme a la normativa de protección de datos
Antes de leer: ECIJA pone a disposición un consultorio para atender dudas personalizadas. Ponte en contacto con nosotros, pinchando aquí.
La reciente publicación de la Agencia Española de Protección de Datos (AEPD), el 30 de abril, de un comunicado en relación con la toma de temperatura por parte de comercios, centros de trabajo y otros establecimientos para la prevención de los contagios por COVID-19 ha generado dudas en cuanto a la posibilidad de llevar a cabo este tipo de controles en relación con los requisitos y condiciones establecidos por la normativa sobre protección de datos personales.
No obstante lo anterior, del comunicado sí es posible extraer una serie de parámetros para la evaluación sobre si el control que se pretende llevar a cabo es compatible con el cumplimiento de las obligaciones establecidas en el RGPD, no sólo para el caso de la toma de temperatura, sino para cualquier otro control o medida que conlleven el tratamiento de información relacionada con la salud para tratar de evitar los contagios y mantener la seguridad tanto de los empleados como de los terceros (clientes, proveedores, visitas, …) que accedan a los establecimientos.
A continuación, se plantean una serie cuestiones que debe plantearse toda entidad a la hora de evaluar si el control pretendido se ajusta o no a la normativa de protección de datos:
1.- ¿Estoy legitimado para implantar estos controles y medidas en mi establecimiento?
El tratamiento de datos personales ha de contar siempre con una base de legitimación jurídica adecuada para poder llevarlo a cabo. La primera de las opciones podría ser la de solicitar el consentimiento expreso de los interesados, sin embargo a criterio de la AEPD, el tratamiento de datos de salud con la finalidad de controlar el acceso y garantizar la salud de los ciudadanos que entren en un establecimiento, no podría legitimarse, en ningún caso, en dicho consentimiento, dado que entiende que no concurre uno de los requisitos esenciales para que el consentimiento sea válido, como es el que éste se preste de forma libre.
Es claro que, si el hecho de no consentir la realización del control implica la denegación de la entrada a un recinto, se está condicionando claramente la capacidad de negarse, máxime si esta denegación puede tener consecuencias derivadas para el afectado como, por ejemplo, la imposibilidad de entrar a trabajar, de acudir a un evento o realizar una entrega a un cliente.
Junto a la exclusión del consentimiento, la AEPD indica que no es posible emplear como base de legitimación jurídica para este tratamiento el interés legítimo del responsable, ya que al verse afectada información relativa a la salud de los interesados, la existencia de un interés legítimo no permite levantar la prohibición general de tratamiento de datos sensibles, por no estar dentro de los supuestos exceptuados y porque, en cualquier caso, entiende que prevalecerían los derechos, libertades e intereses de los afectados.
Por tanto, las opciones restantes serían la existencia de un interés público o la existencia de una obligación o habilitación legal. Sin embargo, a juicio de la AEPD, no serviría exclusivamente con invocar un interés público de forma genérica, como podría ser la salud pública, sino que éste debe haber sido concretado por una Ley. De este modo, en la práctica, la posibilidad y legitimación de llevar a cabo un control que implique el tratamiento de datos de salud para evitar la propagación de la pandemia ha de estar expresamente contemplando en la legislación.
Por tanto, para conocer que legitimación podría existir en cada caso poder implantar un control que implique el tratamiento de los datos de salud de los interesados, debe realizarse un análisis previo sobre la legislación aplicable al caso concreto, con el fin de determinar existe habilitación para llevarlo a cabo.
2.- ¿Cómo debo evaluar la proporcionalidad del control y su tratamiento?
Cualquier tratamiento de datos que se quiera llevar a cabo, ha de ser proporcional a la finalidad que se pretende. Esta regla general es plenamente aplicable a la realización de controles, más aún cuando estos impliquen un tratamiento de datos relativos a la salud. En este sentido, la vigilancia pretendida y el correspondiente tratamiento de datos requerirían contar con los parámetros y criterios que determine de forma previa la autoridad sanitaria competente, en este caso el Ministerio de Sanidad, así como la realización de las correspondientes Evaluaciones de Impacto para la Privacidad exigidas por la normativa de protección de datos personales ante tratamientos especialmente sensibles.
Esta proporcionalidad tiene que ver tanto con el fondo, es decir, la categoría de datos a tratar, como con la forma, que incluye el cómo se tratan dichos datos y el protocolo que debe seguirse para su obtención.
Los aspectos descritos suponen junto con el comunicado de la AEPD, los pilares fundamentales para que el tratamiento de datos personales que se analiza pueda considerarse adecuado a la regulación sobre protección de datos. Por este motivo, se debe tener en cuenta tanto las obligaciones generales establecidas en el RGPD, como aquellas específicas apuntadas por la AEPD en su comunicación.
Por tanto, se requiere de un control exhaustivo sobre el cumplimiento de todas estas condiciones, como medio para conocer si realmente las medidas de control propuestas pueden considerarse proporcionadas.
2.1. Fondo
- ¿Qué características tienen que recoger los datos personales?
Para poder analizar la proporcionalidad requerida, los datos que se recaben han de ser:
Necesarios: En este caso, se ha de atender a si el tipo de medidas de control que se pretenden implantar podrían ser sustituidas, con igual eficacia, por otras menos intrusivas que no impliquen el tratamiento de datos personales o que traten datos menos sensibles o en menor cantidad.
Adecuados: El tipo de datos que se recabe debe estar justificado en instrucciones de las autoridades sanitarias o regulaciones que establezcan parámetros que permitan considerar que la información que se está recabando es útil y adecuada para los resultados que se pretenden obtener.
Fiables: La AEPD no permite recabar cualquier tipo de información que pueda ser síntoma común de la enfermedad COVID-19, como una confirmación de la misma (como puede resultar la fiebre), por ello, el sistema de control debe seguir un método que permita una correcta relación entre la información que se recoge, la temperatura corporal, y las deducciones que se hacen de los resultados, teniendo en consideración las consecuencias que conllevaría que los sujetos que estén dentro de los parámetros puedan ser considerados como un factor riesgo. Como se ha expuesto anteriormente, estos parámetros deben contar con un respaldo jurídico o científico suficiente para ser tomados como referencia.
2.2. Forma
- ¿Cómo se ha de realizar la recogida de los datos?
La recogida de la información ha de realizarse del modo menos intrusivo posible, protegiendo al máximo la privacidad de los afectados, limitándose al mínimo el número de personas con acceso en cada momento.
- ¿Puedo comunicar los datos a terceros?
En la medida de lo posible, el hecho de que el resultado pueda estar dentro de los parámetros de riesgo definidos ha de ser puesto en conocimiento de forma que sólo el interesado sea conocedor de este hecho, ya que de otro modo podría estarse afectando su derecho a la privacidad de forma grave.
- ¿Quién puede realizar el control? ¿Quién puede tener acceso a los resultados?
Las personas que puedan tener acceso a la información han de estar comprometidas al cumplimiento del deber de secreto y su intervención ha de estar justificada en base a sus competencias y capacidades para valorar la información. Cada perfil de usuario ha de acceder a la información que necesita para realizar sus funciones.
3.- ¿Durante cuánto tiempo puedo conservar los resultados?
En este caso, han de definirse unos plazos de conservación adecuados a la finalidad perseguida. En principio, los datos no deben ser conservados, salvo que pueda justificarse suficientemente ante la necesidad de hacer frente a eventuales acciones legales derivadas de la decisión de denegación de accesos.
4.- ¿Se han de implementar medidas específicas para llevar a cabo este control?
Las medidas de seguridad adoptadas han de ser adecuadas al tipo de datos tratados, la forma de su obtención y los riesgos que su tratamiento implica para los afectados. Para la determinación de estas medidas será necesario realizar la correspondiente evaluación de impacto sobre la privacidad como medio para determinar cuáles son las concretas medidas que han de ser implementadas.
5.- ¿Se ha de informar con carácter previo del tratamiento de datos derivado del control?
El tratamiento de datos personales con la finalidad de la prevención del contagio del COVID 19 debe realizarse dando cumplimiento a todas las obligaciones de información establecidas por el RGPD, de modo que se permita a los afectados conocer que serán objeto de estos análisis y las finalidades que se persiguen con la captación de esta información, no pudiendo ser utilizados para ninguna otra.
En la medida en que esta información pueda ser captada por medios que puedan pasar desapercibidos a los afectados, como cámaras térmicas, deberán adoptarse medidas para garantizar que son perfectamente conscientes de su obtención empleando, por ejemplo, carteles informativos suficientemente descriptivos y poniendo a disposición información detallada sobre el tratamiento que se llevará acabo.
Si te planteas implantar medidas y/o controles en tus establecimientos con motivo de la vuelta a la actividad, desde ECIJA podemos asesorarte, analizando si las medidas previstas son acordes al RGPD, recomendando las medidas y acciones complementarias a implementar para poder hacerlo con las mayores garantías de cumplimiento.
ECIJA pone a disposición un consultorio para atender dudas personalizadas. Ponte en contacto con nosotros, pinchando aquí.