Tanto la Agencia Española de Protección de datos (AEPD) como, entre otras, la Autoridad italiana (Garante per la protezione dei dati personali), la francesa (Commission Nationale de l’Informatique et des libertes) o la autoridad alemana (Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit), han emitido sendos informes acerca del tratamiento de los datos de los empleados en la presente situación excepcional de alarma sanitaria global.
Al respecto, mientras países como Francia e Italia, no ofrecen respuestas claras y sus recomendaciones abogan por mantener la prevalencia del derecho individual frente al interés público, la AEPD promueve un criterio mucho más sensato y adecuado a las circunstancias actuales, acordes con las medidas de las autoridades sanitarias destinadas a la contención de la propagación del virus a toda la población.
Como complemento al mencionado informe publicado por el Gabinete Jurídico de la AEPD sobre los tratamientos de datos personales en relación con la situación derivada de la extensión del virus COVID-19, de 12 de marzo de 2020, el pasado viernes, dicha autoridad dio a conocer un listado con las siguientes preguntas frecuentes que estaban recibiendo y las correspondientes respuestas en relación con el tratamiento de datos personales relativos a la salud de los trabajadores que han surgido a raíz de la pandemia del COVID-19 que estamos viviendo.
Tratamiento de datos de salud de los empleados en la pandemia COVID-19
Para dar respuesta a las citadas preguntas debe partirse de la base de que la normativa sectorial aplicable en el ámbito de la salud pública establece que la protección de datos – dentro de los límites previstos por las leyes – no debería utilizarse para obstaculizar o limitar la efectividad de las medidas que adopten las autoridades, porque la normativa de protección de datos personales ya contiene una regulación que compatibiliza y pondera los intereses y derechos en juego para el bien común.
¿Pueden los empresarios tratar la información de sus empleados si están infectados del COVID-19?
La normativa sanitaria, laboral, y en particular, de prevención de riesgos laborales, establece que las empresas podrán tratar aquellos datos personales de sus empleados que sean necesarios para garantizar su salud, así como adoptar las medidas que establezcan las autoridades competentes, incluidas las relativas a asegurar el derecho a la protección de la salud del resto del personal en plantilla, para evitar contagios o propagación de la enfermedad al conjunto de la población.
Resulta admisible que el empleador obtenga esta información del propio empleado, mediante la formulación de preguntas que se limiten exclusivamente a indagar sobre la existencia de los síntomas de la enfermedad, o si ha resultado contagiado o ha estado sujeto a cuarentena. Cualquier otra información o cuestionario solicitando más información resultaría contrario al principio de minimización de datos.
¿Se puede transmitir esta información internamente en la empresa?
Se puede transmitir esta información internamente siempre y cuando no se identifique a la persona afectada para mantener la privacidad de ésta, aunque se podría trasladar la información a las autoridades competentes, en particular a las sanitarias, a requerimiento de éstas. En cualquier caso, la información deberá proporcionarse respetando siempre los principios de finalidad y de proporcionalidad.
En principio debería ser suficiente con facilitar información sin especificar la identidad de la persona, si con ello es suficiente para prevenir la finalidad de protección de la salud. En ocasiones, si la información parcial no es suficiente para conseguir la finalidad de protección de la salud, por ejemplo, para que las personas de una compañía puedan saber si tuvieron o no contacto con la persona infectada, podrá proporcionarse la información identificativa.
¿Se puede solicitar a los trabajadores o visitantes ajenos información sobre los países en los que han estado anteriormente, o si presentan sintomatología relacionada con el COVID-19?
Dado que los empleadores tienen la obligación legal de proteger la salud de sus trabajadores, ante la situación de emergencia sanitaria en la que nos encontramos, estaría justificado que la empresa solicitase la información necesaria para determinar si hay posibilidad de contagio, sin la necesidad de solicitar un consentimiento explícito (de acuerdo con el RGPD y la Ley de Prevención de Riesgos Laborales).
De nuevo, la información solicitada debe responder al principio de proporcionalidad y limitarse exclusivamente a obtener información relacionada con la enfermedad, limitado al ámbito temporal relativo al periodo de incubación o a la existencia de síntomas.
¿Se pueden tratar los datos de salud de los trabajadores relacionados con el coronavirus?
De acuerdo con lo establecido por las autoridades sanitarias, la normativa de protección de datos no debería utilizarse para obstaculizar o limitar la efectividad de las medidas adoptadas en la lucha contra la pandemia. Por su parte, la propia normativa de protección de datos no se aparta de dicha idea, en la medida en que permite el tratamiento de dados de salud sin necesidad de contar con el consentimiento explícito del afectado cuando ello sea necesario para salvaguardar los intereses vitales de éste, el interés público esencial en el ámbito de la salud, la realización de diagnósticos médicos o el cumplimiento de obligaciones legales en el ámbito laboral.
De nuevo, es importante resaltar que el tratamiento de estos datos deberá en todo caso observar los principios que establece el RGPD, en particular los de minimización, limitación de la finalidad y minimización de la conservación.
¿En caso de cuarentena preventiva o estar afectado por el coronavirus, el empleado tiene la obligación de informar a su empleador de esta circunstancia?
Sí. En este caso particular, el derecho individual de no informar sobre la razón de la baja por enfermedad cede frente a la defensa del derecho a la protección de la salud del colectivo de los trabajadores en situaciones de pandemia y, en general, del derecho a la salud de toda la población.
Es por ello que los empleados que tras haber tenido contacto con un caso de coronavirus pudieran estar afectados y que, de acuerdo con los protocolos sanitarios se ven sometidos al correspondiente aislamiento preventivo para evitar situaciones de contagio mientras no disponen del correspondiente diagnóstico, deberán informar de tal circunstancia a su empleador y al servicio de prevención o a los delegados de prevención.
¿El personal de seguridad puede tomar la temperatura a los trabajadores para detectar casos de COVID-19?
De acuerdo con lo establecido en la Ley de Prevención de Riesgos Laborales, esta medida resulta obligatoria para el empleador, en el ámbito de las medidas de vigilancia de la salud de los trabajadores, que debería ser realizada por personal sanitario.
En nuestra opinión, dicha medida podría ser realizada por personal sanitario, o por cualquier otro profesional sujeto a secreto profesional, de conformidad con lo establecido en el artículo 9 del RGPD.
De nuevo, el tratamiento de los datos obtenidos a partir de las tomas de temperatura deberá en todo caso respetar la normativa de protección de datos y limitarse al que sea necesario para adoptar las medidas pertinentes para contener la propagación del coronavirus y conservarse únicamente durante el tiempo necesario para esta finalidad de emergencia sanitaria.