Amb el pla de desescalada del Govern Espanyol sorgeixen més i més dubtes relacionats amb l’ús i tractament de les nostres dades, ja que, per exemple, serà lícit que ens prenguin la temperatura quan anem a la feina, a un comerç o centre escolar? L’AEPD ha emès un comunicat al respecte, on expressa la seva preocupació per aquest tipus d’actuacions, doncs com es diu al propi informe, suposen una ingerència particularment intensaen els drets dels afectats i que s’estan realitzant sense el criteri previ de les autoritats sanitàries
Anem a analitzar aquest comunicat, ja que en aquests temps d’emergència sanitària les empreses estan prenent múltiples mesures enfocades a la prevenció de nous contagis. Haurà de valorar-se en aquests casos on està el límit, doncs, pot el RGPD ser obstacle per a la protecció de la salut pública?
Primer és necessari preguntar-nos, amb quina legitimitat poden prendre’ns la temperatura?
Ja sabem que quan es comença un tractament de dades s’ha de valorar la seva licitud, determinant la base jurídica sobre la que es realitzarà aquest tractament.
La presa de la temperatura pertany a la categoria de dades especialment sensibles, per ser indicatiu de la salut de les persones i, a partir d’ell, poder “determinar” si aquesta persona està o no infectada per Coronavirus. Ho posem entre cometes ja que no totes les persones amb febre han de tenir Covid i pot passar que persones asimptomàtiques (en aquest cas sense febre) puguin transmetre’l, com hem anat veient aquests mesos. La pròpia Agència estableix que la presa de temperatura és una ingerència particularment intensa en els drets dels afectats, doncs denegar l’accés a un centre educatiu, laboral o comercial estaria exposant a tercers que la persona afectada té una temperatura per sobre del “normal” i que pot ser portadora del virus. Depenent del context en què es trobi, aquesta denegació d’accés davant tercers pot tenir un impacte negatiu sobre la persona afectada.
Els articles 6.1 i 9.2 del RGPD marquen les bases jurídiques en les que legitimar aquest tractament. En un entorn laboral, tal i com ja comentàvem a l’inici del confinament, el tractament de dades de salut per part de les empreses es basa en l’obligació que tenen els ocupadors de garantir la seguretat i salut de les persones treballadores al seu servei en els aspectes relacionats amb el treball; el propi responsable del tractament haurà d’especificar totes les garanties adequades per aquests tractaments. En un entorn educatiu, comercial o inclús de transport de viatgers es requerirà, segons el 9.2.i del RGPD, un suport normatiu a través de lleis que determinen l’existència d’interessos generals en el terreny de la salut pública que han de ser protegits i, que aportin les garanties adequades i específiques per a protegir els drets i llibertats dels interessats.
La base legitimadora que no podrà aplicar-se per al tractament de dades de salut és l’interès legítim del responsable del tractament. Cap de les disposicions de la normativa permet el tractament de dades de salut per raons d’interès legítim.
Veient que les dades de salut relatives a la temperatura poden tenir una base jurídica i per tant, poden ser recollides, amb quines finalitats es podran tractar?
Només poden obtenir-se amb la finalitat específica de detectar possibles persones contagiades i evitar el seu accés a un determinat lloc i el seu contacte dins d’ell amb altres persones. Per això, la temperatura no haurà de ser utilitzada per a una altra finalitat que l’indicada.
I aquesta mesura de control, com s’haurà d’implantar?
Valorant l‘impacte que pot tenir a la societat aquesta mesura, hauria d’implantar-se atenent al que estableixin les autoritats sanitàries competents (actualment el Ministeri de Sanitat), regulant els límits i garanties per al tractament d’aquestes dades i ponderant fins a quin punt aquest control és suficient per a justificar la intromissió sobre els drets individuals i si podria, o no, ser substituïda per altres menys intrusives i igualment eficaces. Amb això s’uniformitzaria aquesta pràctica evitant que les empreses ho apliquin de manera heterogènia, perdent eficàcia aquest control i generant discriminació sense motiu.
Així mateix, i en relació amb aquest impacte sobre les persones, és important tenir present el principi d’exactitud del RGPD, ja que en aquest context comporta que la presa de la temperatura es realitzi per personal format en l’ús dels equips de mesurament, així com que aquests siguin equips adequats per a registrar amb fiabilitat la mateixa, doncs una mesura errònia conseqüència d’aquest incompliment pot tenir resultats negatius sobre els interessats.
Es pot usar qualsevol mètode d’obtenció de la temperatura com càmeres tèrmiques?
La càmera tèrmica ofereix la possibilitat de gravar i conservar les dades o tractar informació addicional, com, per exemple, informació biomètrica. Han de ser utilitzades prestant especial atenció als principis de limitació de finalitat per a què el tractament de dades que es realitzi sigui el que s’informa als usuaris i les dades personals recollides siguin adequades, pertinents i limitades al necessari en relació amb els fins per als que són tractades (article 5.1 del RGPD).
Els aspectes que han de tenir-se en compte per a dur a terme el correcte tractament són:
- Informar als treballadors, clients o usuaris. Es pot realitzar mitjançant un cartell, on s’indiqui la finalitat del tractament, la base jurídica, els terminis i criteris de conservació d’aquesta informació, els drets de l’usuari i si hi haurà cessions o transferències internacionals de dades. (es pot fer mitjançant l’ús de cartells com aquest)
- Formar als treballadors de forma específica i actualitzada sobre les mesures que s’implanten.
- Fer partícip del procediment als serveis de prevenció de riscos laborals que realitzen activitats sanitàries seguint l’establert pel Ministeri de Sanitat.
- El tractament d’aquestes dades haurà de realitzar-se per personal qualificat, com el metge especialista en medicina del treball del servei de prevenció.
- El personal que empri les dades de temperatura ha de reunir els requisits legalment establerts i estar format en el seu ús. La identificació d’un possible contagi erroni com a conseqüència d’un equip inapropiat o d’un mal desenvolupament de la presa pot generar un impacte negatiu en els interessats vulnerant els seus drets.
Durant quan temps s’ha de guardar aquesta informació?
És important establir els terminis i/o criteris de conservació de les dades, seguint amb els principis del RGPD. El registre i conservació d’aquesta tipologia de dades no s’ha de produir més temps del necessari per a la determinació de l’accés a un local o centre, llevat que existeixi una necessitat suficientment justificada per eventuals accions legals derivades de la decisió de denegació d’accessos.
Recordem que per al tractament d’aquestes dades s’hauran de seguir les indicacions del Ministeri de Sanitat i els canvis que poden anar sorgint. No s’ha de realitzar sense el criteri previ i necessari de les autoritats sanitàries.
Font: AEPD
I com sempre, si teniu qualsevol dubte o consulta o necessiteu el cartell informatiu, no dubteu en contactar amb nosaltres.
L’Equip de Pymelegal.