Pasaporte Covid y RGPD

Artículo de Teresa Pereyra, socia de ECIJA y José Manuel Miralles, abogado de la Firma, para Actualidad Jurídica Aranzadi.

El Supremo también señala que la normativa española ya contiene previsiones que habilitan a las autoridades sanitarias a imponer la medida de requerir el pasaporte COVID como forma de control de los contagios

La argumentación jurídica varía en el supuesto de uso del pasaporte COVID como requisito de acceso a locales de ocio

El debate sobre la utilización del Certificado COVID Digital de la UE, conocido como pasaporte COVID o CDC, vuelve a cobrar protagonismo ante la extensión de su exigencia en distintos ámbitos tanto a nivel nacional como comunitario.

Desde que la Comisión Europea aprobó su utilización el pasado junio, su uso por parte de las autoridades públicas ha estado rodeado de polémica y frente a la disparidad de criterios adoptados para su utilización, tanto por las Comunidades Autónomas como por sus correspondientes Tribunales, ha sido necesaria la intervención de nuestro Tribunal Supremo (TS) para valorar si el pasaporte COVID puede ser utilizado para controlar el acceso a espacios de ocio, como restaurantes, cines o estadios.

Debe recordarse que la Comisión Europea ideó el pasaporte COVID como respuesta ante la limitación del derecho de los ciudadanos europeos a circular y residir libremente en el territorio de la Unión que la aplicación de requisitos como cuarentenas, aislamientos o realización de pruebas de detección de la infección, estaba implicando en la práctica.

Así queda reflejado en el Reglamento europeo que introduce el marco regulatorio del CDC1, que, por un lado, se encarga de crearlo asegurando el respeto a los derechos fundamentales a la vida privada y familiar, a la protección de datos de carácter personal, a la igualdad ante la ley y a la no discriminación, y por otro, deja la puerta abierta para que los estados miembros utilicen el pasaporte COVID para fines distintos.

Esta posibilidad es la que ha permitido que países como Francia, Alemania, Bélgica, entre otros, o algunas Comunidades Autónomas de España, hayan optado por ampliar la finalidad de este pasaporte COVID empleándolo para regular el acceso a bares o restaurantes, y convirtiéndolo así en un certificado de acceso y no solo en un pasaporte con el que evitar restricciones a la hora de viajar. Asimismo, se han planteado otros usos para este certificado, como la posibilidad de requerirlo a los trabajadores como medida de garantía en el ámbito laboral o en los procesos de selección de personal.

Respecto de estos dos últimos casos de uso en entornos laborales, la normativa de protección de datos es clara. El tratamiento de datos que, en este caso, además, son de mayor sensibilidad por afectar a la salud de sus titulares, requiere una base legitimadora que en este supuesto no existe, ya que no hay norma legal nacional o europea que lo requiera o justifique ni se puede recurrir a ninguna de las otras bases legitimadoras que reconoce el artículo 6 del Reglamento Europeo de Protección de Datos. Y es que, ni siquiera el consentimiento del titular de la información resultaría válido en este escenario porque la relación jerárquica existente entre las partes vicia cualquier consentimiento que pudiera emitirse ante la amenaza de perjudicar la relación laboral o el proceso de selección.

Acceso a locales de ocio

La argumentación jurídica varía en el supuesto de uso del pasaporte COVID como requisito de acceso a locales de ocio. En este caso, y según ha resuelto el Tribunal Supremo en su sentencia de 14 de septiembre de 2021, el consentimiento de los clientes de estos establecimientos es una base legitimadora válida y suficiente para la exhibición de un documento cuyo contenido no será almacenado ni tratado de ninguna otra forma. Llama la atención, no obstante, que la Agencia Española de Protección de Datos (AEPD) en su comunicado de 31 de julio de 2020 sobre la recogida de datos en los establecimientos con motivo del rastreo de contagios2, se pronunciara en sentido opuesto, advirtiendo que este consentimiento solo sería válido si la oposición del titular no implicara una consecuencia negativa para él, como la imposibilidad de acceder al local. En otras palabras, se cuestionó la validez del consentimiento que ahora, sin embargo, es validado por el TS.

Además de lo anterior, el Supremo también señala que la normativa española ya contiene previsiones3 que habilitan a las autoridades sanitarias a imponer la medida de requerir el pasaporte COVID como forma de control de los contagios. De materializarse esta habilitación, no sería necesario recurrir a un consentimiento del afectado que, como se ha señalado, ha sido cuestionado como base legitimadora de este tratamiento de datos por la propia Autoridad de Control en materia de protección de datos y es probable que se eliminaran o, al menos, redujeran los distintos pronunciamientos judiciales que se vienen observando en las distintas Comunidades Autónomas y que no contribuyen a un escenario de seguridad jurídica nacional.

A todo lo anterior hay que sumarle que actualmente, ante las amenazas de nuevas variantes del virus y nuevas elevaciones del número de contagios, muchos países europeos debaten acerca de si la vacunación debe ser obligatoria y algunos países, como Grecia o Austria, ya se han mostrado partidarios de esta medida y han anunciado que tomaran, además, medidas más severas incluyendo la imposición de multas.

Sin duda alguna, la imposición de la vacunación como medida obligatoria, cambiaría drásticamente el escenario ya que la existencia de una norma en este sentido sería base legitimadora suficiente para muchos de los casos de uso del CDC y acabaría con las dudas sobre la legalidad acerca de este tratamiento de datos de salud de los ciudadanos.

1.Reglamento (UE) 2021/953, del Parlamento Europeo y del Consejo, de 14 de junio de 2021.

2.«Comunicado sobre la recogida de datos personales por parte de los establecimientos». Agencia Española de Protección de Datos. 31 de julio de 2020.

3.Ley 3/1986, de 14 de abril, de Medidas Especiales en Materia de Salud Pública. Art. 3.