Una de las claras consecuencias del covid-19 va a ser la determinación de que datos sanitarios de sus empleados pueden ser tratados por los los empleadores. En este sentido la AEPD ha emitido un informe jurídico sobre esta materia que se puede consultar en su página web.
En esta entrada os vamos a contar dos datos más relevantes que se exponen en dicho informe:
En primer lugar la normativa de protección de datos personales se aplica en su integridad a la situación actual, dado que no existe razón alguna que determine la suspensión de derechos fundamentales, ni dicha medida ha sido adoptada, por tanto, todo tratamiento de datos de carácter personal de los empleados tiene que respetar las condiciones impuestas tanto por el RGPD como por la LOPDGDD.
El RGPD contiene las salvaguardas y reglas necesarias para permitir legítimamente los tratamientos de datos personales en situaciones de una emergencia sanitaria de alcance general como la generada por el covid-19, así se destaca en el informe de la AEPD lo dispuesto en el Considerando 46 del RGPD. Este Considerando 46 dispone que en situaciones excepcionales, como una epidemia, la base jurídica de los tratamientos puede ser múltiple, basada tanto en el interés público, como en el interés vital del interesado u otra persona física, es decir, en este contexto no es necesario el consentimiento del interesado (empleado) para que el tratamiento del empresario tenga un base jurídica, si bien la AEPD recuerda que los datos personales únicamente deben tratarse sobre la base del interés vital de otra persona física cuando el tratamiento no pueda basarse manifiestamente
en una base jurídica diferente. Por lo tanto, como base jurídica para un tratamiento lícito de datos personales, sin perjuicio de que puedan existir otras bases, -como por ejemplo el cumplimiento de una obligación legal, art. 6.1.c) RGPD (para el empleador en la prevención de riesgos laborales de sus empleados)-, el RGPD reconoce explícitamente las dos citadas: misión realizada en interés público (art. 6.1.e) o intereses vitales del interesado u otras personas físicas (art. 6.1.d).
Sin embargo, para el tratamiento de datos de salud no basta con que exista una base jurídica del art. 6 RGPD, sino que de acuerdo con el art. 9.1 y 9.2 RGPD exista una circunstancia que levante la prohibición de tratamiento de dicha categoría especial de datos (entre ellos, datos de salud).
En su informe la AEPD considera que circunstancias cabe encontrarlas, en varios de los epígrafes del art. 9.2 RGPD.
Una de estas bases sería el cumpliendo de las obligaciones que el ordenamiento jurídico impone al empleador, en concreto toma especial relevancia en este contexto la normativa de Prevención de riesgos laborales que obliga al empresario a adoptar las medidas necesarias para garantizar la salud de los trabajadores en los centros de trabajo. En este punto es interesante recordar que con la aprobación del Estado de Alarma y varios RD posteriores se dejo en suspenso la aplicación de lo dispuesto en la LPRL en relación con las condiciones del puesto de trabajo cuando el trabajador estaba teletrabajando, sustituyéndola por una autoevaluación realizada por el propio trabajador.
En este informe se destaca también que el trabajador tiene que colaborar con el empleador, algo que también se establece en la LPRL: «…corresponde a cada trabajador velar, según sus posibilidades y mediante el cumplimiento de las medidas de prevención que en cada caso sean adoptadas, por su propia seguridad y salud en el trabajo y por la de aquellas otras personas a las que pueda afectar su actividad profesional, a causa de sus actos y omisiones en el trabajo, de conformidad con su formación y las instrucciones del empresario«.
Por tanto los trabajadores , en palabras de la AEPD, deberán informar a su empleador en caso de sospecha de contacto con el virus, a fin de salvaguardar, además de su propia salud, la de los demás trabajadores del centro de trabajo, para que se puedan adoptar las medidas oportunas.
El tratamiento que el empleador haga de estos datos sanitarios tendrá que respetar todas las condiciones impuestas por la normativa de protección de datos como son por ejemplo:
- tratar sólo los datos que son estrictamente necesarios;
- emplear la información obtenida con el tratamiento exclusivamente para los fines para los que se obtuvo;
- adoptar las medidas de seguridad necesarias (recordamos que los datos sanitarios son datos especialmente sensibles y protegidos, art 9 RGPD Y 9 LOPDGDD).
En base a todo lo expuesto, se entiende por la AEPD que el tratamiento de datos sanitarios, como por ejemplo la toma de temperatura de empleados y clientes tiene una base jurídica adecuada de acuerdo con el RGPD en el contexto de crisis sanitaria en la que nos encontramos.
Puedes consultar el informe completo de la AEPD en el siguiente enlace: https://www.aepd.es/es/documento/2020-0017.pdf.
José Sendín
Abogado
SISTEMIUS
