Para responder las dudas sobrevenidas a raíz del coronavirus COVID-19 sobre el tratamiento de datos de salud en el ámbito laboral, la Agencia Española de Protección de Datos ha elaborado un informe que puede descargarse aquí que aclara que el Reglamento General de Protección de Datos (RGPD) permite el tratamiento de datos personales de salud sin consentimiento del interesado en situaciones de interés público en el ámbito de la salud pública y en el cumplimiento de obligaciones legales en el ámbito laboral derivado de dichas situaciones.
De dicho informe destacamos los siguientes aspectos:
- En situaciones en las que existe una emergencia sanitaria de alcance general, la protección de datos no debería utilizarse para obstaculizar o limitar la efectividad de las medidas que adopten las autoridades, especialmente las sanitarias, en la lucha contra la pandemia.
- Las bases jurídicas para el tratamiento lícito de los datos se fundamenta tanto en el Considerando 46 del propio RGPD como en sus artículos 6.1.e) misión realizada en interés público; y 6.1.d) intereses vitales del interesado u otras personas físicas. Sin perjuicio de que puedan existir otras bases legitimadoras como, por ejemplo, el cumplimiento de una obligación legal (para el empleador en la prevención de riesgos laborales de su personal).
- El RGPD cataloga los datos de salud como categorías especiales de datos, estando por defecto prohibido su tratamiento salvo excepciones recogidas en el mismo precisadas en el informe de la AEPD:
- Obligación de empleadores y de su personal en materia de prevención de riesgos laborales, y que corresponde a cada trabajador velar por su propia seguridad y salud en el trabajo y por la de aquellas personas a las que pueda afectar su actividad profesional a causa de sus actos y omisiones en el trabajo. Ello supone que el personal deberá informar a su empleador en caso de sospecha de contacto con el virus, a fin de salvaguardar, además de su propia salud, la de los demás trabajadores del centro de trabajo para que se puedan adoptar las medidas oportunas.
- El interés público en el ámbito de la salud pública, que en este caso se configura como interés público esencial.
- Cuando sea necesario para la realización de un diagnóstico médico.
- Cuando el tratamiento es necesario para proteger intereses vitales del interesado o de otras personas, cuando el interesado no esté capacitado para prestar su consentimiento.
Por otro lado, el informe hace referencia a la Ley Orgánica 3/1986 de Medidas Especiales en Materia de Salud Pública (modificada mediante Real Decreto-ley 6/2020, de 10 de marzo) o la Ley 33/2011 General de Salud Pública. La primera de dichas normas señala que “con el fin de controlar las enfermedades transmisibles, la autoridad sanitaria, además de realizar las acciones preventivas generales, podrá adoptar las medidas oportunas para el control de los enfermos, de las personas que estén o hayan estado en contacto con los mismos y del medio ambiente inmediato, así como las que se consideren necesarias en caso de riesgo de carácter transmisible”.
Ello otorga competencia a las autoridades sanitarias para adoptar las medidas necesarias cuando así lo exijan razones sanitarias de urgencia o necesidad. Dichas medidas deberán observarse y seguirse por los responsables de tratamiento de datos, los empleadores, incluso cuando ello suponga un tratamiento de datos personales de salud.
Del mismo modo, y en aplicación de lo establecido en la normativa de trabajo y de prevención de riesgos laborales, los empleadores podrán tratar, de acuerdo con dicha normativa y con las garantías que dichas normas establecen, los datos necesarios para garantizar la salud de todo su personal, y evitar contagios en el seno de la empresa y/o centros de trabajo.
Por último, el informe destaca que los tratamientos de datos personales, aún en estas situaciones de emergencia sanitaria, deben seguir siendo tratados de conformidad con la normativa de protección de datos personales (RGPD y Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, LOPD), ya que estas normas han previsto esta eventualidad, por lo que le son de aplicación sus principios, y entre ellos el de tratar los datos personales con licitud, lealtad y transparencia, limitación de la finalidad (en este caso, salvaguardar los intereses de las personas ante esta situación de pandemia), principio de exactitud, y el principio de minimización de datos. Sobre esto último, se hace una referencia expresa a que los datos tratados habrán de ser exclusivamente los limitados a los necesarios para la finalidad pretendida, sin que se pueda extender dicho tratamiento a otros datos personales no estrictamente necesarios para dicha finalidad.
FAQ – Preguntas Frecuentes y Respuestas ante el tratamiento de datos de los trabajadores en la pandemia del coronavirus COVID-19
¿Puede la empresa tratar la información de si el empleado está infectado de coronavirus?
SÍ. La normativa sanitaria, laboral y, en particular, de prevención de riesgos laborales, habilita al empleador a tratar, con las garantías establecidas, los datos del personal necesarios para garantizar su salud y adoptar las medidas indicadas por las autoridades competentes, lo que incluye igualmente asegurar el derecho a la protección de la salud del resto del personal y evitar los contagios en el seno de la empresa y/o centros de trabajo que puedan propagar la enfermedad al conjunto de la población.
La empresa podrá conocer si la persona trabajadora está infectada o no, para diseñar a través de su servicio de prevención los planes de contingencia que sean necesarios, o que hayan sido previstos por las autoridades sanitarias.
Esa información también puede ser obtenida mediante preguntas al personal. Sin embargo, las preguntas deberían limitarse exclusivamente a indagar sobre la existencia de síntomas, o si la persona trabajadora ha sido diagnosticada como contagiada, o sujeta a cuarentena. Resultaría contrario al principio de minimización de datos la circulación de cuestionarios de salud extensos y detallados, o que incluyan preguntas no relacionadas con la enfermedad.
Si un trabajador está infectado de coronavirus, ¿puede comunicarse al resto de trabajadores esta información?
SÍ, EXCEPCIONALMENTE. Pero esta información debería proporcionarse sin identificar a la persona afectada a fin de mantener su privacidad, si bien, podría identificarse a requerimiento de las autoridades competentes, en particular las sanitarias.
La información debe proporcionarse respetando los principios de finalidad y proporcionalidad y siempre dentro de lo establecido en las recomendaciones o instrucciones emitidas por las autoridades competentes, en particular las sanitarias. Por ejemplo, si es posible alcanzar la finalidad de protección de la salud del personal divulgando la existencia de un contagio, pero sin especificar la identidad de la persona contagiada, debería procederse de ese modo. Si, por el contrario, ese objetivo no puede conseguirse con información parcial, o la práctica es desaconsejada por las autoridades competentes, en particular las sanitarias, podría proporcionarse la información identificativa.
¿Se puede pedir a los trabajadores datos sobre países o regiones que hayan visitado anteriormente? ¿Y a los trabajadores de subcontratas o servicios que vienen a prestar sus funciones en las instalaciones de la empresa? ¿Y a otros visitantes ajenos a la empresa: clientes, comerciales, auditores externos, transportistas, servicios de mantenimiento, etc.?
SÍ PERO CON LIMITACIONES. El empleador tiene la obligación legal de proteger la salud de los trabajadores y mantener el lugar de trabajo libre de riesgos sanitarios, por lo que estaría justificada (en virtud del RGPD y Ley de Prevención de Riesgos Laborales) la solicitud de información sobre síntomas o factores de riesgo a trabajadores y visitantes externos sin necesidad de pedir su consentimiento explícito.Con independencia de que las autoridades competentes, en particular las sanitarias, establezcan estas medidas por una cuestión de Salud Pública y que así lo comuniquen a los centros de trabajo.
La información a solicitar debería responder al principio de proporcionalidad y limitarse exclusivamente a preguntar por visitas a zonas o regiones de alta prevalencia del virus y en el marco temporal de incubación de la enfermedad, las últimas 2 semanas, o si se tiene alguno de los síntomas de la enfermedad. Resultaría contrario al principio de minimización de datos la utilización de cuestionarios de salud extensos y detallados, o que incluyan preguntas no relacionadas con la enfermedad. Pueden existir casos de empleadores que dada su actividad (alimentación, bebidas, servicios o productos sanitarios, infraestructuras o servicios críticos, etc.) con normalidad tengan ya implementado algún método de control de enfermedades similar o adicional por seguridad de los consumidores y las personas. Cada cual debe evaluar sus circunstancias y valorar el grado correspondiente de control necesario y observando los principios y deberes aplicables de protección de datos personales.
¿Puede la empresa tratar los datos de salud de los trabajadores, relacionados con el coronavirus?
SÍ. Para cumplir las decisiones sobre la pandemia de coronavirus que adopten las autoridades competentes, en particular las sanitarias, la normativa de protección de datos no debería utilizarse para obstaculizar o limitar la efectividad de las medidas que adopten dichas autoridades.
La normativa de protección de datos permite adoptar las medidas que sean necesarias para salvaguardar los intereses vitales de las personas físicas, el interés público esencial en el ámbito de la salud, la realización de diagnósticos médicos, o el cumplimiento de obligaciones legales en el ámbito laboral, incluido el tratamiento de datos de salud sin necesidad de contar con el consentimiento explícito el afectado.
En todo caso, el tratamiento de estos datos debe observar los principios establecidos en el RGPD, en particular los de minimización, limitación de la finalidad y minimización de la conservación.
¿Tiene el trabajador la obligación de informar si está afectado por el coronavirus?
SÍ. Los trabajadores que, tras haber tenido contacto con un caso de coronavirus, pudieran estar afectados por dicha enfermedad y que, por aplicación de los protocolos establecidos por las Autoridades Sanitarias competentes, se ven sometidos al correspondiente aislamiento preventivo para evitar los riesgos de contagio derivados de dicha situación hasta tanto se disponga del correspondiente diagnóstico, deberán informar a su empleador y al servicio de prevención o, en su caso, a los delegados de prevención (Ley de Prevención de
Riesgos Laborales).
La persona trabajadora en situación de baja por enfermedad no tiene obligación de informar sobre la razón de la baja a la empresa, sin embargo, este derecho individual puede ceder frente a la defensa de otros derechos como el derecho a la protección de la salud del colectivo de trabajadores en situaciones de pandemia y, más en general, la defensa de la salud de toda la población.
¿Puede la empresa tomar la temperatura a los trabajadores con el fin de detectar casos de coronavirus?
SÍ, PERO CON LIMITACIONES. Verificar si el estado de salud de las personas trabajadoras puede constituir un peligro para ellas mismas, para el resto del personal, o para otras personas relacionadas con la empresa constituye una medida relacionada con la vigilancia
de la salud de los trabajadores que, conforme a la Ley de Prevención de Riesgos Laborales, resulta obligatoria para el empleador y debería ser realizada por personal sanitario.
En todo caso, el tratamiento de los datos obtenidos a partir de las tomas de temperatura debe respetar la normativa de protección de datos y, por ello y entre otras obligaciones, debe obedecer a la finalidad específica de contener la propagación del coronavirus, limitarse a esa finalidad y no extenderse a otras distintas, y mantenidos no más del tiempo necesario para la finalidad para la que se recaban. Por ejemplo podría tomarse la temperatura de los trabajadores varias veces durante la jornada laboral de forma anónima o disociada, y en caso de personas con fiebre derivarlas directamente a la mutua de salud o servicio sanitario correspondiente, para reducir riesgos de contagio y agilizar la pronta atención sanitaria al trabajador.
