Autor: Carmen Salvado y Begoña Requejo-Romero
[Advertencia: este informe tiene mera finalidad informativa y no constituye en ningún caso opinión jurídica]
Ante la actual pandemia, ¿ha de tenerse en cuenta la normativa de protección de datos?
Los tratamientos de datos personales en estas situaciones de emergencia sanitaria siguen siendo tratados de conformidad con la normativa de protección de datos personales (RGPD y Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, LOPDGDD), por lo que se aplican todos sus principios, contenidos en el artículo 5 RGPD. La propia normativa de protección de datos personales establece que, en situaciones de emergencia, para la protección de intereses esenciales de salud pública y/o vitales de las personas físicas, podrán tratarse los datos de salud necesarios para evitar la propagación de la enfermedad que ha causado la emergencia sanitaria.
En consecuencia, la protección de datos no debería utilizarse para obstaculizar o limitar la efectividad de las medidas que adopten las autoridades, especialmente las sanitarias, en la lucha contra la pandemia. Así lo ha manifestado la Agencia Española de Protección de Datos (AEPD) en su reciente Informe 0017/2020 sobre el COVID-19, y el Comité Europeo de Protección de Datos, en su Declaración sobre el tratamiento de datos personales en el contexto del brote de COVID-19.
¿Se pueden tratar los datos personales de salud de los trabajadores debido a la pandemia?
Las empresas, como responsables del tratamiento pueden tratar datos personales de sus empleados para cumplir las decisiones sobre la pandemia de coronavirus que adopten las autoridades competentes, en particular las sanitarias. Por tanto, podrán recabar datos relativos a cuestiones como si el trabajador ha padecido síntomas relacionados con el contagio de covid-19, si ha estado en contacto con algún contagiado o sobre su temperatura corporal. Ahora bien, por ser considerados estos datos por el propio RGPD como datos especiales o sensibles deberán tomarse todas las medidas pertinentes que garanticen los derechos de los interesados.
¿Es preceptivo obtener el consentimiento del interesado para poder tratar sus datos de salud?
Se pueden tratar los datos en el marco de epidemias sin la necesidad de obtener el consentimiento de los interesados. La normativa de protección de datos permite adoptar las medidas que sean necesarias para salvaguardar los intereses vitales de las personas físicas, el interés público esencial en el ámbito de la salud, la realización de diagnósticos médicos, o el cumplimiento de obligaciones legales en el ámbito laboral, incluido el tratamiento de datos de salud sin necesidad de contar con el consentimiento explícito el afectado. En todo caso, el tratamiento de estos datos debe observar los principios establecidos en el RGPD, en particular los de minimización de datos, limitación de la finalidad y minimización de la conservación.
¿Pueden los empresarios tratar la información de si las personas trabajadoras están infectadas del coronavirus?
En conformidad con lo dispuesto en la normativa sanitaria, laboral y, en concreto, de prevención de riesgos laborales, las empresas podrán tratar, de acuerdo con la citada normativa y con las garantías que esta establece, los datos del personal necesarios para garantizar su salud y adoptar las medidas necesarias por las autoridades competentes, lo que incluye igualmente asegurar el derecho a la protección de la salud del resto del personal y evitar así los contagios en el seno de la empresa que puedan propagar el contagio al conjunto de la población.
Como ha puesto de manifiesto la AEPD, la empresa podrá conocer si el trabajador está o no infectado, para diseñar a través de su servicio de prevención los planes de contingencia que sean necesarios, o que hayan sido previstos por las autoridades sanitarias. Esa información también puede ser obtenida mediante preguntas al personal. Sin embargo, las preguntas deberían limitarse exclusivamente a indagar sobre la existencia de síntomas, o si la persona trabajadora ha sido diagnosticada como contagiada, o sujeta a cuarentena. Resultaría contrario al principio de minimización de datos la circulación de cuestionarios de salud extensos y detallados, o que incluyan preguntas no relacionadas con la enfermedad.
¿Debo informar a mis empleados sobre el tratamiento de dichos datos?
La Comunicación del pasado 30 de abril de la AEPD, de manera textual establece que este tipo de operación supone un tratamiento de datos personales que, como tal, debe ajustarse a las previsiones de la legislación correspondiente.
Por lo tanto, sí se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales.
¿Cuándo y cómo la empresa debe informar sobre ese tratamiento de datos?
El RGPD establece que el deber de información debe llevarse a cabo en el momento en que se obtengan los datos, y, en caso de obtenerse de una manera que no sea directamente del interesado, en un plazo razonable, dependiendo de las circunstancias del caso.
Por lo tanto, el modo de hacerlo será incluyendo cláusulas informativas en los formularios de recogida de datos, ya sean en papel o en formatos digitales.
¿Se puede pedir a las personas trabajadoras y visitantes ajenos a la empresa datos sobre países que hayan visitado anteriormente, o si presentan sintomatología relacionada con el coronavirus?
Como apunta la AEPD, desde el punto de vista de prevención de riesgos laborales, se parte de la premisa de que el empleador debe garantizar la salud del personal y tratar de evitar contagios. Por lo que sí se podría pedir datos sin previo consentimiento ajustándolo a la necesidad de entablar planes de contingencia necesarios que garanticen las propias previsiones de las autoridades sanitarias que se han venido publicando.
Dicha actuación debe realizarse siempre con respeto al principio de proporcionalidad y minimización solicitando y tratando los datos estrictamente necesarios para la finalidad con la que se ha pretendido que sean tratados. Además, siempre se debe de garantizar el deber de información justificando correctamente la petición de la información.
En caso de cuarentena preventiva o estar afectado por el coronavirus, ¿el trabajador tiene obligación de informar a su empleador de esta circunstancia?
Los trabajadores deberán informar a su empleador, al servicio de prevención o, en su caso, a los delegados de prevención como se establece en la Ley de Prevención de Riesgos Laborales. La persona trabajadora en situación de baja por enfermedad no tiene obligación de informar sobre la razón de la baja a la empresa, sin embargo, este derecho individual puede ceder frente a la defensa de otros derechos como el derecho a la protección de la salud del colectivo de trabajadores en situaciones de pandemia y, más en general, a la defensa de la salud de toda la población.
¿Puede el personal de seguridad hacer los test de temperatura? ¿Quién es el responsable de realizar estos test?
La verificación de la que habla la AEPD es un concepto que se enlaza con la idea de realización de un diagnostico o análisis. En este sentido, se reserva la necesidad de que la valoración, verificación o la comprobación de un análisis a través de la toma de temperatura la tiene que hacer un personal sanitario. Pero el hecho de que haya, por ejemplo, una cámara que capte esa temperatura no quiere decir que tenga que estar controlada esa máquina o instrumento por un médico. Por lo tanto, el diagnóstico o el estudio deberá de ser realizado por un médico, pero la persona que ve o controla el instrumento detector no tendría por qué ser un personal sanitario.