{"id":3147,"date":"2020-03-14T14:40:14","date_gmt":"2020-03-14T14:40:14","guid":{"rendered":"https:\/\/www.aktionlegal.com\/?p=3147"},"modified":"2022-02-24T10:32:21","modified_gmt":"2022-02-24T10:32:21","slug":"covid19-y-proteccion-de-datos-cuestiones-basicas-a-tener-en-cuenta","status":"publish","type":"post","link":"https:\/\/www.aktionlegal.com\/en\/covid19-y-proteccion-de-datos-cuestiones-basicas-a-tener-en-cuenta\/","title":{"rendered":"COVID19 y protecci\u00f3n de datos: cuestiones b\u00e1sicas a tener en cuenta"},"content":{"rendered":"

En una actualidad en la que estamos sufriendo una pandemia por el #COVID19<\/strong><\/a>,<\/strong> que nos est\u00e1 haciendo ver comportamientos de histeria, algunos, muy pocos, apasionados de lo que hacemos, nos preguntamos \u00bfY qu\u00e9 pasa con el tratamiento de los datos, especialmente los referidos a los resultados de #COVID19?<\/strong> Es por ello, que en este art\u00edculo trataremos de explicar ciertas cuestiones relacionadas con la protecci\u00f3n de los datos relativos a la salud, que nos sirven ahora y nos servir\u00e1n en el futuro.<\/p>\n

En primer\u00edsimo lugar tenemos que tener en cuenta que los resultados sobre test de detecci\u00f3n de #COVID19<\/strong> son datos que se refieren a la salud de las personas y por lo tanto datos de categor\u00edas especiales de los que se recogen en el art\u00edculo 9 del Reglamento General de Protecci\u00f3n de Datos –Reg. UE 2016\/679<\/a>– (en adelante, \u201cRGPD<\/em><\/strong>\u201d).<\/p>\n

 <\/p>\n

Lo primero \u00bfQu\u00e9 son datos de categor\u00edas especiales?<\/span><\/strong><\/h2>\n

 <\/p>\n

La definici\u00f3n que nos ofrece el RGPD<\/strong> de datos categor\u00edas especiales es la siguiente: \u201cdatos personales que revelen el origen \u00e9tnico o racial, las opiniones pol\u00edticas, las convicciones religiosas o filos\u00f3ficas, o la afiliaci\u00f3n sindical, y el tratamiento de datos gen\u00e9ticos, datos biom\u00e9tricos dirigidos a identificar de manera un\u00edvoca a una persona f\u00edsica, datos relativos a la salud o datos relativos a la vida sexual o las orientaci\u00f3n sexuales de una persona f\u00edsica<\/em>\u201d.<\/p>\n

Hasta aqu\u00ed parece que las cosas est\u00e1n claras, pero profundicemos un poco m\u00e1s para no caer en confusiones al se\u00f1alar qu\u00e9 son y qu\u00e9 no son datos de categor\u00edas especiales:<\/p>\n

\ud83d\udc49 Datos gen\u00e9ticos<\/strong><\/span>: \u201cdatos personales relativos a las caracter\u00edsticas gen\u00e9ticas heredadas o adquiridas de una persona f\u00edsica que proporcionen una informaci\u00f3n \u00fanica sobre la fisiolog\u00eda o la salud de esa persona, obtenidos en particular del an\u00e1lisis de una muestra biol\u00f3gica de tal persona<\/em>\u201d<\/p>\n

\ud83d\udc49  Datos biom\u00e9tricos<\/strong><\/span>: \u201cdatos personales obtenidos a partir de un tratamiento t\u00e9cnico espec\u00edfico, relativos a las caracter\u00edsticas f\u00edsicas, fisiol\u00f3gicas o conductuales de una persona f\u00edsica que permitan o confirmen la identificaci\u00f3n \u00fanica de dicha persona, como im\u00e1genes faciales o datos dactilosc\u00f3picos<\/em>\u201d<\/p>\n

\ud83d\udc49 Datos relativos a la salud<\/strong>:<\/span> \u201cdatos personales relativos a la salud f\u00edsica o mental de una persona f\u00edsica, incluida la prestaci\u00f3n de servicios de atenci\u00f3n sanitaria, que revelen informaci\u00f3n sobre su estado de salud<\/em>\u201d.<\/p>\n

Los que ahora nos interesan para este post son sobre todo los datos relativos a la salud<\/strong>, con los que hay que extremar las precauciones en el tratamiento, y por supuesto reforzar la base de legitimaci\u00f3n en la que nos fundemos para tratarlos, ya que una mala elecci\u00f3n de la base de legitimaci\u00f3n puede suponer que tras la tormenta, no venga la calma, si no una tormenta en forma de reclamaci\u00f3n por uno de nuestros trabajadores o colaboradores ante la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos<\/strong><\/a> (en adelante, \u201cAEPD<\/em><\/strong>\u201d).<\/p>\n

 <\/p>\n

\u00bfQu\u00e9 tenemos que tener en cuenta cuando tratamos datos relativos a la salud, o datos referentes al #COVID19?<\/span><\/strong><\/h2>\n

 <\/p>\n

Una vez que sabemos lo que son los datos relativos a la salud, ahora pasamos a exponer qu\u00e9 debemos de tener en cuenta si en nuestra startup, proyecto o empresa vamos a proceder a tratar datos relativos al coronavirus<\/strong>:<\/p>\n

En primer lugar, deberemos de concebir los datos relativos a la salud en su concepto m\u00e1s amplio<\/strong>, tal y como hace la AEPD en su Informe 0337\/2008<\/a> que, en l\u00ednea con el TJUE, concibe que cualquier dato referido a la salud de un trabajador, incluido un diagnostico o las fechas de alta o baja asociadas a un c\u00f3digo constituyen datos de categor\u00edas especiales. Por lo que, cualquier dato que identifique o permita identificar datos sobre la salud de un trabajador o colaborador, ya sea por m\u00e9todos directos o m\u00e1s indirectos<\/u> como es el caso de los c\u00f3digos de enfermedades que se utilizan en los partes de baja, ser\u00e1 dato relativo a la salud sobre el que deberemos de aplicar medidas m\u00e1s restrictivas y garantistas<\/u>.<\/p>\n

Por otro lado, el que un emprendedor o compa\u00f1\u00eda procese informaci\u00f3n relativa no es algo s\u00f3lo propio de esta situaci\u00f3n<\/strong> de seudo histeria y pandemia que estamos viviendo a causa del #COVID19<\/strong>. En toda empresa<\/u>, de nueva creaci\u00f3n o ya con recorrido, en alg\u00fan punto de la actividad se tratan datos relativos a la salud<\/u>.<\/p>\n

Algunos, incluso pueden preguntarse \u00bfAh s\u00ed?<\/strong> S\u00ed, cuando se transmite a la Seguridad Social o al asesor laboral un parte de baja, en una gran parte de los casos estamos tratando datos relativos a la salud sobre el trabajador o colaborador en cuesti\u00f3n.<\/p>\n

El tratamiento de los datos relativos a la salud est\u00e1 de primeras prohibido, salvo que se apliquen alguna de las bases de legitimaci\u00f3n que se encuentran en el apartado 9.2. del RGPD<\/strong> y que ya de entrada os decimos que no son exactamente iguales a las del art\u00edculo 6.<\/u> En este sentido las bases que podr\u00edamos utilizar en una situaci\u00f3n como la que vivimos son:<\/p>\n

\ud83d\udd39 el interesado proporcione su consentimiento expl\u00edcito<\/strong>, con uno o m\u00e1s de los fines especificados -por supuesto observando las condiciones para el consentimiento que se recogen en el art\u00edculo 7.<\/p>\n

\ud83d\udd39 el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos espec\u00edficos del responsable<\/strong> del tratamiento o del interesado en el \u00e1mbito del Derecho laboral y de la seguridad y protecci\u00f3n social<\/strong>; pero \u00a1ACHTUNG!<\/u><\/span><\/strong> (o en espa\u00f1ol \u00a1CUIDADO!), aplicar\u00e1 esta base en la medida en que as\u00ed lo autorice el Derecho de la Uni\u00f3n de los Estados miembros o un convenio colectivo<\/em>.<\/p>\n

Por suerte, o por desgracia -no se sabe-, en Espa\u00f1a tenemos la Ley de Prevenci\u00f3n de Riesgos Laborales<\/a> (en adelante, \u201cLPRL<\/em><\/strong>\u201d) que establece que la vigilancia de la salud es un deber del empresario ya que es \u00e9ste el responsable de garantizar la vigilancia de su estado de salud en el trabajo.<\/p>\n

 <\/p>\n

Sin embargo, no podemos, ni debemos, tratar los datos relativos a la salud o al #COVID19 bas\u00e1ndonos en:<\/span><\/strong><\/h3>\n

 <\/p>\n

\ud83d\udd39 proteger intereses vitales del interesado o de otra persona f\u00edsica (art. 9.2.c). Porque para ello es necesario que el interesado no pueda prestar directamente su consentimiento -situaci\u00f3n de inconsciencia o incapacidad-;<\/p>\n

\ud83d\udd39 es necesario por razones de un inter\u00e9s p\u00fablico esencial (art. 9.2.g), ya que no hay una base en Derecho nacional o de la UE que permita el tratamiento de estos datos sin consentimiento para la situaci\u00f3n por el #COVID19<\/strong>.<\/span><\/p>\n

\ud83d\udd39 el tratamiento es necesario por razones de inter\u00e9s p\u00fablico en el \u00e1mbito de la salud p\u00fablica, como la protecci\u00f3n frente a amenazas transfronterizas graves para la salud, puesto que tambi\u00e9n tiene que ser sobre la base de una norma nacional o europea.<\/p>\n

En definitiva, tanto a la hora de tratar los datos relativos al coronavirus<\/strong>, como a la hora de tratar datos relativos a la salud en general deber\u00edamos contar, en los casos comunes, con el consentimiento del interesado; al que si bien es cierto que podemos solicitarle los datos sobre la presencia de #COVID19<\/strong> en base a la LPRL y el art. 9.2.h RGPD, no podemos sancionar o \u201ccastigar\u201d si se niega a facilitarnos dicha informaci\u00f3n si no es para el cumplimiento de las obligaciones inherentes a la prestaci\u00f3n de asistencia o tratamiento de tipo sanitario o social, o gesti\u00f3n de los sistemas y servicios de asistencia sanitaria y social<\/em>.<\/p>\n

Hasta aqu\u00ed hemos tratado cuestiones relacionadas con el art\u00edculo 5 RGDP -principios b\u00e1sicos y fundamentales en el tratamiento de los datos de car\u00e1cter personal-, pero…<\/p>\n

\u00bfY ahora qu\u00e9?<\/span><\/strong><\/h3>\n

Hemos hablado de legitimidad, sin embargo, sigo sin saber cu\u00e1les son mis obligaciones.<\/p>\n

Tiempo al tiempo, en este apartado final vamos a tratar cu\u00e1les son esas obligaciones inherentes al responsable en caso de tratar datos relativos a la salud.<\/p>\n

A muchos se os vendr\u00e1 a la cabeza autom\u00e1ticamente las obligaciones de: (i)<\/u><\/strong> llevar un registro de actividades de tratamiento<\/u>; (ii)<\/strong> realizar una evaluaci\u00f3n de impacto de protecci\u00f3n de datos<\/u> (en adelante, \u201cEIPD<\/em><\/strong>\u201d); y (iii)<\/strong> nombrar un delegado de protecci\u00f3n de datos<\/u> (en adelante e indistintamente, \u201cDPD<\/em><\/strong>\u201d o \u201cDPO<\/em><\/strong>\u201d).<\/p>\n

Sin embargo, debemos de preguntarnos:<\/p>\n

 <\/p>\n

\u00bfRealmente son exigibles estas obligaciones aunque el tratamiento de datos relativos a la salud o de categor\u00edas especiales no sea mi actividad?<\/strong><\/span><\/h3>\n

 <\/p>\n

En respuesta, el art\u00edculo 35 y 37 del RGPD<\/strong> nos dice que deberemos cumplir s\u00ed o s\u00ed con estas dos obligaciones cuando:<\/p>\n

se realice un tratamiento a gran escala de las categor\u00edas especiales de datos a que se refiere el art\u00edculo 9<\/strong>, apartado 1 [\u2026]<\/em> (art. 35.3.b)<\/strong><\/p>\n

las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categor\u00edas especiales de datos personales con arreglo al art\u00edculo 9 [\u2026]<\/strong><\/em> (art. 37.1.c)<\/strong><\/p>\n

 <\/p>\n

Y hasta aqu\u00ed nuestra publicaci\u00f3n sobre cuestiones b\u00e1sicas a tener en cuenta en el tratamiento de datos relativos a la salud y el #COVID19 \u00a1No dud\u00e9is en contactar si necesit\u00e1is algo\u201d \u00a1<\/span>STAY SAFE!<\/span><\/strong><\/p>\n

 <\/p>\n

Pablo Viedma<\/strong><\/p>\n

Tech & Privacy<\/strong><\/p>\n

\n","protected":false},"excerpt":{"rendered":"

En una actualidad en la que estamos sufriendo una pandemia por el #COVID19, que nos est\u00e1 haciendo ver comportamientos de histeria, algunos, muy pocos, apasionados de lo que hacemos, nos preguntamos \u00bfY qu\u00e9 pasa con el tratamiento de los datos, especialmente los referidos a los resultados de #COVID19? Es por ello, que en este art\u00edculo […]<\/p>\n","protected":false},"author":1,"featured_media":15869,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[78,86,75],"tags":[],"class_list":["post-3147","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-covid-19","category-tech","category-tech-privacy"],"_links":{"self":[{"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/posts\/3147","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/comments?post=3147"}],"version-history":[{"count":0,"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/posts\/3147\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/media\/15869"}],"wp:attachment":[{"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/media?parent=3147"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/categories?post=3147"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.aktionlegal.com\/en\/wp-json\/wp\/v2\/tags?post=3147"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}

Por lo que, de no encontrarnos en una de estas situaciones no deberemos de cumplir con estas obligaciones, lo que no quita que sea recomendable si se tiene la capacidad. En el mismo sentido se pronuncia el considerando 97<\/u> y el antiguo Grupo de Trabajo del Art\u00edculo 29 (Guidelines on Data Protection Officers (\u2018DPOs\u2019) – WP 243<\/a><\/em>) al definir lo que implican actividades principales, de donde se excluyen actividades auxiliares que no son esenciales para la consecuci\u00f3n de los fines y objetivos del responsable, dentro de las cuales entrar\u00edan las actividades relacionadas con la prevenci\u00f3n y control de la salud laboral y la gesti\u00f3n de los servicios sociales y sanitarios, que recordemos, vienen impuestos por la LPRL.<\/p>\n