Coronavirus: ¿cuándo el interés público se impone a la protección de datos?

La crisis del coronavirus también puede tener un impacto en la protección de datos personales. Y es que se pueden dar múltiples situaciones en las que puede surgir la duda sobre hasta donde llega el derecho a la privacidad y cuándo se impone el interés público o vital. ¿Es posible que las autoridades comuniquen al entorno de una persona -por ejemplo, a sus amigos o compañeros de trabajo-que se encuentra afectado por el COVID-19? ¿Prevalecería el interés público o la privacidad? Las respuestas a estas preguntas han propiciado la publicación de un informe de la Agencia Española de Protección de Datos (AEPD).

• La regulación de las acciones colectivas en España: una reforma pendiente
• Despido disciplinario por ver un partido del Mundial de Fútbol
• Aceptar o repudiar una herencia
• La persona en el centro: claves del discurso de León XIV ante el Congreso de los Diputados
• La figura del becario en España: claves legales para evitar falsos «becarios»

Según aclara el abogado Alejandro Álvarez Serrano, abogado del área de protección de datos del Bufete Mas y Calvet, el Reglamento General de Protección de Datos (RGPD) ya preveía escenarios de emergencia sanitaria contra la salud pública, como es el de la pandemia del coronavirus. Nuestro especialista publicaba recientemente una tribuna en el periódico Cinco Días sobre este asunto titulado «Coronavirus y protección de datos: cuando el interés público o vital se impone a la privacidad»

En primer lugar, es necesario señalar que el derecho a la protección de los datos personales, que tiene origen en el artículo 18 de la Constitución Española, no está suspendido a día de hoy. El estado de alarma no suspende derechos, hecho que sí puede darse en los casos de estado de excepción o de sitio. En segundo lugar, se puede dar una colisión de derechos: la protección de la salud pública -en este caso, lucha contra una pandemia- frente a la protección de los datos personales.

La AEPD recordaba recientemente, en su informe sobre la protección de datos en la actual situación de pandemia, que el Considerando (46) del RGPD reconoce que en situaciones excepcionales “la base jurídica de los tratamientos puede ser múltiple, basada tanto en el interés público, como en el interés vital del interesado u otra persona física. (…) Por lo tanto, como base de datos jurídica para un tratamiento lícito de datos personales (…), el RGPD reconoce explícitamente las dos citadas: misión realizada en interés público (art. 6.1.e) o intereses vitales del interesado u otras personas físicas (art. 6.1.d)”.

Álvarez aclara que la “protección de los intereses vitales de otras personas físicas” legitima el tratamiento de datos personales de unos interesados para proteger frente al contagio a terceros. Y, además, justificaría dicho tratamiento de la manera más amplia. «Dicha colisión de derechos de la que hablábamos antes, por tanto, se resolvería en favor de la protección de la salud pública. Y todo ello aunque no identifiquemos a las personas a las que se está protegiendo», explica el abogado.

Datos personales relativos a la salud

No obstante, y dado que afectamos a un dato de categoría especial como son los datos relativos a la salud, es necesario que haya una circunstancia especial que levante la prohibición de tratamiento de dicha categoría especial de datos.

El RGPD, en el artículo 9.2.i), establece que cabe dicho tratamiento cuando sea “necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios (…)”. Al mismo tiempo, el art. 9.2.g) también ampara esta posibilidad: “el tratamiento es necesario por razones de un interés público esencial (…)”. Y también se puede permitir según lo que establece el art. 9.2.c) y h): protección de intereses vitales y para fines de medicina preventiva, respectivamente.

Como la salvaguarda de los intereses en el ámbito de la salud pública corresponde a las autoridades sanitarias, serán estas las que tomarán las decisiones correspondientes de adopción de las medidas necesarias, entre las que se podría incluir el tratamiento de los datos personales de salud de determinadas personas físicas.

Entonces, ¿podrían, por ejemplo, los jefes de una empresa comunicar a la plantilla de trabajo que uno de sus empleados es portador del COVID-19? Según el abogado Alejandro Álvarez, esto es posible porque, tal como señala la AEPD: “los empleadores podrán tratar, de acuerdo con dicha normativa y con las garantías que estas normas establecen, los datos de sus empleados necesarios para garantizar la salud de todos sus empleados, lo que incluye igualmente al resto de empleados distintos del interesado, para asegurar su derecho a la protección de la salud y evitar contagios en el seno de la empresa y/o centros de trabajo”.

«Sin embargo, aunque quepa dicho tratamiento de datos, este ha de hacerse con licitud, lealtad, transparencia; con la limitación propia de la finalidad de salvaguardar los intereses vitales/esenciales de las personas físicas; con exactitud y minimizando los datos tratados para la finalidad pretendida: no cabría que este tratamiento, por razón de intereses de salud pública, lleve a que empresarios, compañías de seguros, bancos, etc. traten estos datos con otros fines» explica Alejandro Álvarez.

El Bufete Mas y Calvet cuenta con un área especializada en asesorar a empresas en el cumplimiento del Reglamente General de Protección de Datos, con servicios de Delegado de Protección de Datos y atención a la necesidad de la realización de la Evaluación de Impacto de la Privacidad. Contacte con nuestros especialistas y le ayudaremos en todo lo relacionado con el cumplimiento de la normativa vigente.