COVID-19. Operación “retorno”. Impactos en la privacidad.

En la situación de pandemia mundial por la COVID-19 actual las empresas se encuentran con el reto de diseñar el plan de vuelta a la normalidad en línea con lo establecido en el “Plan para la Transición hacia una nueva normalidad” publicado por el Gobierno el pasado 9 de mayo y la “Guía de Buenas prácticas en los centros de trabajo” con el proveedor de servicios de prevención de riesgos laborales.

Tanto el Real Decreto Legislativo 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores (el “Estatuto de los Trabajadores”), como la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales (la “Ley de Prevención de Riesgos Laborales”) establecen el derecho de los trabajadores a una protección eficaz en materia de seguridad y salud en el trabajo y el correlativo deber de los empresarios de establecer los medios necesarios y oportunos para garantizar tal seguridad. Igualmente, tanto el Estatuto de los Trabajadores como la Ley de Prevención de Riesgos Laborales establecen la obligación de los empleados de cumplir en su trabajo con las medidas legales y reglamentarias de seguridad y salud en el trabajo.

Ante el nuevo escenario de desescalada en el que nos encontramos, hemos advertido que algunos de los planes de contingencia ante la pandemia del COVID-19 remitidos a los clientes por sus proveedores de servicios de prevención de riesgos laborales incluyen la cumplimentación de cuestionarios de salud, la toma de temperatura corporal o la realización de tests como medidas de prevención. A este respecto, recordamos que los datos relativos a la salud son considerados categoría especial de datos personales por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (el “RGPD”). En este sentido, consideramos importante tener en cuenta que:

• El RGPD prohíbe el tratamiento de los datos de salud salvo en supuestos muy tasados en los que las medidas organizativas y legales, así como las medidas de seguridad deben ser sometidas previamente a un concienzudo y exhaustivo ejercicio de ponderación en cuanto a su necesidad, adecuación y proporcionalidad. En el contexto actual y en lo que respecta al ámbito laboral, el deber del empresario de protección de los trabajadores frente a los riesgos laborales establecido por el Estatuto de los Trabajadores y la Ley de Prevención de Riesgos Laborales es una base legitimadora suficiente para tratar los datos de salud de sus empleados, tal y como establece el artículo 9.2.b) del RGPD.

• El pasado 30 de abril la Agencia Española de Protección de Datos emitió un comunicado en el que recogía la posible injerencia particularmente intensa que tratamientos como la toma de temperatura por parte de comercios, centros de trabajo y otros establecimientos podían producir en los derechos de los afectados y en el que establecía que la aplicación de este tipo de medidas y el correspondiente tratamiento de datos requeriría la determinación previa de su necesidad y adecuación por parte de la autoridad sanitaria competente, con el fin de prevenir la diseminación de la COVID-19, regulando los límites y garantías específicos para el tratamiento de los datos personales de los afectados.

• Así, si el plan de contingencia que estéis desarrollando incluye como medidas de prevención el tratamiento de datos salud de algún modo (cuestionarios, tests o mediciones de temperatura) para detectar posibles supuestos o confirmaciones de infección por COVID-19, será necesario realizar previamente en coordinación con vuestro proveedor de servicios de prevención de riesgos laborales (así como en línea con lo establecido por las autoridades sanitarias competentes) las siguientes acciones en materia de protección de datos personales para evitar ningún incumplimiento sancionable en esta materia:

• Análisis y documentación de la necesidad, adecuación y proporcionalidad de las medidas de prevención a adoptar, atendiendo especialmente a los principios de minimización de datos, privacidad por defecto y privacidad by design (desde el diseño de la solución o medida a adoptar);
• Análisis y documentación de los riesgos y  de la evaluación de impacto en la privacidad de los afectados (documentación de las medidas de seguridad técnicas, organizativas y jurídicas correspondientes para mitigar los riesgos);
• Redacción de la correspondiente política informativa para los empleados, clientes o proveedores que puedan verse afectados sobre el tratamiento de sus datos mediante las medidas de prevención finalmente adoptadas; y
• Redacción de la correspondiente política de conservación de los datos de salud recopilados y tratados (siempre por el proveedor de servicios de prevención de riesgos laborales y salud de la empresa).

Estamos a vuestra disposición para asegurarnos de que la implementación del plan de contingencia ante la COVID-19 y las medidas de desescalada y vuelta a la normalidad no suponen en ningún caso un incumplimiento de la normativa de protección de datos personales, por lo que no dudéis en consultarnos a este respecto.