Ante las dudas suscitadas ante la protección de datos y la emergencia sanitaria que estamos viviendo, la AEPD ha publicado un informe sobre el tratamiento de datos personales en relación con la situación derivada de la extensión del coronavirus https://www.aepd.es/es/documento/2020-0017.pdf
Muchos clientes, se han puesto en contacto con nosotros, para saber cómo actuar, mejor dicho como tratar ciertos datos que son sensibles ya que tratan datos de salud.
La AEPD nos dice que el RGPD contiene las reglas necesarias para permitir el tratamiento legítimo de datos personales en situaciones en las que existe una emergencia sanitaria de alcance general. De manera que la protección de datos no debe utilizarse para obstaculizar o limitar la efectividad de las medidas que adopten las autoridades, en especial las sanitarias, en la lucha contra la pandemia.
El Considerando 46 del RGPD reconoce la base jurídica para el tratamiento lícito de datos personales en casos excepcionales, como son el control de epidemias y la propagación, la misión realizada en interés público o los intereses vitales del interesado y otras personas físicas. Estos puntos permiten el tratamiento de datos sin consentimiento de los afectados.
Además, el RGPD recoge en su artículo 9.2 las excepciones que permiten el tratamiento de datos de la salud:
- Cumplimiento de obligaciones en el ámbito del Derecho laboral y de la seguridad y protección social, es decir, la obligación de los empleadores y de su personal en materia de prevención de riesgos laborales. De manera que el personal deberá informar a su empleador en caso de sospecha de contacto con el virus con el fin de proteger su propia salud y la de los demás trabajadores del centro de trabajo.
- El interés público en el ámbito de la salud pública, que se configura como interés público esencial.
- Cuando sea necesario para la realización de un diagnóstico médico.
- Cuando el tratamiento es necesario para proteger intereses vitales del afectado o de otras personas, cuando el afecto no esté capacitado para prestar su consentimiento.
Además, el informe de la AEPD hace referencia a Ley Orgánica 3/1986 de Medidas Especiales en Materia de Salud Pública, que dice: “con el fin de controlar las enfermedades transmisibles, la autoridad sanitaria, además de realizar las acciones preventivas generales, podrá adoptar las medidas oportunas para el control de los enfermos, de las personas que estén o hayan estado en contacto con los mismos y del medio ambiente inmediato, así como las que se consideren necesarias en caso de riesgo de carácter transmisible”.
Así, el tratamiento de datos personales respecto a la protección de los intereses vitales de las personas físicas corresponde en el ámbito de la salud a las distintas autoridades sanitarias de las diferentes administraciones públicas, quienes podrán adoptar las medidas necesarias para salvaguardar a las personas en situaciones de emergencia sanitaria.
De manera que los responsables de los tratamientos de datos personales deberán seguir dichas instrucciones, incluso cuando suponga un tratamiento de datos personales de la salud.
El RGPD insiste en la licitud, lealtad, transparencia, limitación de la finalidad, principio de exactitud y el principio de minimización de datos; de manera que los datos tratados habrán de ser exclusivamente los limitados a los necesarios para finalidad pretendida, sin poder extender dicho tratamiento a otros datos personales no estrictamente necesarios para dicha finalidad.
Quien más quien menos ha leído u oído comentarios estos días exigiendo conocer el nombre de ese vecino que ha dado positivo en Covid-19 o del compañero de trabajo, algo que prohíbe la Ley, otra cosa es que el propio afectado quiera hacerlo público como están haciendo políticos, deportistas o personajes conocidos afectados. En el caso de las empresas, en caso de existir un positivo, el trabajador está obligado a comunicarlo pero, bajo ningún concepto, la empresa puede revelar sus datos, sí tiene que adoptar las medidas necesarias, en materia de prevención de riesgos laborales, para tratar de evitar el contagio a otros compañeros de trabajo. Hay que recordar que menos aún deben divulgarse esos datos a través de redes sociales ya que estaríamos ante un delito.
La premisa más importante que tenemos que tener en cuenta es que hay límites que no se pueden sobrepasar cuando hablamos de la privacidad y los datos de salud de las personas
¿Puede la empresa obligar a un trabajador a decir si está infectado por coronavirus?
Si bien, en circunstancias normales, la empresa no puede obligar a ningún trabajador que haya cogido la baja a decir a qué dolencia se debe, en virtud de que el empleador pueda cumplir con su obligación de asegurar el bienestar de sus trabajadores, podrá conocer si un trabajador está infectado o no, de manera que pueda diseñar a través de su servicio de prevención los planes de contingencia que sean necesarios, o que hayan sido previstos por las autoridades sanitarias.
Esta información puede obtenerse a través de preguntas al personal, pero dichas preguntas solo deberán limitarse a indagar sobre la existencia de síntomas o si el trabajador ha sido diagnosticado como contagiado o sujeto a cuarentena. De manera que no deben usarse cuestionarios de salud extensos y detallados o que incluyan preguntas no relacionadas con la enfermedad.
¿Puede la empresa obligar a un trabajador a acudir al médico o el servicio de prevención?
Sí, de hecho puede y debe hacerlo. El servicio de prevención, por su parte y si se da el caso, deberá informar a las autoridades sanitarias que gestionan esta información, para que puedan decidir qué medidas de prevención generales adoptar.
Los profesionales sanitarios generarán, en su caso, el justificante de baja para trabajador y empresa, así como, tras ver el historial médico del paciente, dar consejos y adoptar medidas personalizadas, y solo revelarán a la empresa datos sobre la enfermedad padecida por el trabajador si es necesario para cumplir con las medidas implementadas por las autoridades sanitarias y para salvaguardar la salud del resto de los trabajadores de la empresa.
¿Se puede revelar la identidad del trabajador infectado?
No, en principio no se puede revelar la identidad de un trabajador infectado dentro de la empresa, de manera que si hay un contagiado, a la hora de informar al resto de la plantilla, debe hacerse sin identificar a la persona contagiada, salvo que las autoridades sanitarias competentes digan lo contrario.
Es decir, que en principio la información debe proporcionarse respetando los principios de finalidad y proporcionalidad y siempre dentro de lo establecido en las recomendaciones o instrucciones emitidas por las autoridades sanitarias.
Si está en cuarentena, ¿tiene el trabajador la obligación de informar a su empresa de ello?
Sí, los trabajadores afectados por la cuarentena deben informar su empresa y al servicio de prevención o a los delegados de prevención de que se encuentran en esa situación. Y es que el derecho de no informar sobre el motivo de una baja laboral por enfermedad queda “suspendido” frente a la defensa de otros derechos como el de la protección de la salud del resto de trabajadores en situaciones de pandemia y de la defensa de la salud de toda la población.
¿Puede la empresa recabar información sobre los trabajadores afectados o en cuarentena por el coronavirus?
Como decíamos en la primera pregunta, en circunstancias normales no se podría recabar información sobre los trabajadores afectados o en cuarentena por el coronavirus, pero la AEPD dice que para poder cumplir con las decisiones sobre la pandemia de coronavirus que tomen las autoridades sanitarias, la aplicación de la normativa de protección de datos no debería utilizarse para obstaculizar o limitar la efectividad de esas medidas.
Es decir, que si es necesario recabar dicha información de cara a aplicar las medidas que decidan implementar las autoridades sanitarias, se podrá hacer, siempre manteniendo ese principio de minimización, limitación de la finalidad y minimización de la conservación de dicha información y datos personales.
¿Puede el personal de seguridad tomar la temperatura a los trabajadores con el fin de detectar casos de coronavirus?
Esta función debería recaer sobre el personal sanitario, pero puede constituir una medida relacionada con la vigilancia de la salud de los trabajadores. En cualquier caso, los datos obtenidos a partir de esas tomas temperatura debe respetar la normativa de protección de datos y debe obedecer a la finalidad específica de contener la propagación del coronavirus, limitándose a ello y no extenderse a otras distintas.
¿Cómo deben actuar empleadores y trabajadores?
Deben actuar con responsabilidad. Es decir, que tanto empleadores como trabajadores deben ser capaces de obtener y gestionar la información necesaria para decidir si es necesario tomar medidas como enviar a la gente a casa y recurrir al teletrabajo. Y esto se puede lograr sin necesidad de desvelar más datos de los necesarios.
Así que aplicar el sentido común y la responsabilidad son clave:
- Cumplir las medidas de higiene y limitación de movimientos que consideren las autoridades sanitarias.
- El trabajador que sospeche estar infectado debe seguir las recomendaciones dadas respecto a llamar a su centro de salud y esperar instrucciones para acudir.
- El empresario deberá tomar las medidas adecuadas para la prevención ante los riesgos contra la salud de sus empleados.
¿Se pueden adoptar medidas preventivas para las visitas que accedan a la empresa?
De acuerdo a la propia AEPD, con independencia de las medidas que establezcan las autoridades sanitarias, recordamos que la empresa tiene la obligación legal de proteger la salud de sus trabajadores y mantener el lugar de trabajo libre de riesgos sanitarios, por lo que la solicitud de información a las visitas que acceden a la empresa sobre síntomas o factores de riesgos está justificada, sin necesidad de consentimiento explícito.
Eso sí, la información recogida, como venimos ya diciendo, debe responder al principio de proporcionalidad y limitarse exclusivamente a preguntar por visitas a países de alta prevalencia del virus y en el marco temporal de incubación de la enfermedad.
